金融機関における FinTech に関する有識者検討会報告書

平成 29 年６月
公益財団法人 金融情報システムセンター目 次
はじめに ...................................................................... 1
Ⅰ

FinTech に関する安全対策検討の在り方 ....................................... 2

１

検討の手順 ................................................................................................................... 2２

安対基準の対象となる情報システムの判別基準 ........................................................ 3

３

重要な情報システムで利用される FinTech に係るテクノロジー等の取扱い ............ 3

４ FinTech に関する安全対策の在り方を検討するに当たっての前提 ........................... 4（１）安全対策実施上の新たな関係者となる FinTech 企業の登場 .............................. 4（２）金融機関が必ずしも主導的立場とならない業務形態の登場 ............................... 4（３）FinTech 業務タイプ別類型 .................................................................................. 7（４）FinTech 業務における安全対策の検討で考慮されるべき観点 ........................... 7（５）「オープン API」との関係.................................................................................... 8Ⅱ

FinTech に関する安対基準適用上の課題と安全対策の在り方 .................... 10
１

課題検討に当たって明確にしておくことが有益な事項 ........................................... 10（１）目標とすべき安全対策の効果 ............................................................................ 10（２）安対基準における検討対象領域 ......................................................................... 10（３）簡易なリスク管理策の性質 .................................................................................11（４）クラウドサービスの利用に関する安対基準の取扱い .........................................11２

従来の安対基準に基づく関係者の責務 ................................................................... 13（１）関係者の責務 ...................................................................................................... 13（２）内在する問題へのアプローチ ............................................................................ 15
３

タイプⅠにおいて内在する問題と安全対策の在り方 ............................................... 16

４タイプⅢにおいて内在する問題と安全対策の在り方 ............................................... 17（１）金融機関の安全対策上の責任 ............................................................................ 17（２）FinTech 企業に残る安全対策上の責任 .............................................................. 19（３）金融機関に責任が生じない場合の取扱い .......................................................... 20
５

関係者間の協調 ......................................................................................................... 20

６タイプⅡの特性を踏まえた補足的検討 ..................................................................... 21（１）タイプⅡの特性 .................................................................................................. 21（２）補足 .................................................................................................................... 21
７

FinTech 業務を担う情報システムの安全対策上の取扱い ...................................... 23i

Ⅲ

安対基準の対象外となる FinTech 業務の取扱い ................................ 24

１

安対基準における従来の対象の取扱い ..................................................................... 24

２

安対基準の対象外となる FinTech 業務の取扱いの方向性 ....................................... 25（１）区分 B の取扱いの方向性 ................................................................................... 26（２）区分 C・D の取扱いの方向性 ............................................................................ 26
３ FinTech 業務における安全対策に関する意見表明 ................................................... 28
４Ⅳ

社会的に合意されたルールの形成に向けた FISC の役割 ........................................ 29

クラウドサービス利用時のリスク管理策に関する補足 .......................... 31
補足的な検討の観点 .................................................................................................. 31

１（１）クラウド基準策定後の状況の反映 ..................................................................... 31（２）海外先進諸国の動向 ........................................................................................... 31
クラウドサービス固有の性質.................................................................................... 32

２（１）匿名の共同性 ...................................................................................................... 33（２）情報処理の広域性............................................................................................... 34（３）技術の先進性 ...................................................................................................... 35
３

重要な情報システムの外部委託先に対する統制の考え方 ........................................ 36

４

リスク管理策に関する補足 ....................................................................................... 37（１）統制対象クラウド拠点の把握 ............................................................................ 37（２）監査権等の明記 .................................................................................................. 37（３）監査の実施.......................................................................................................... 37（４）監査人等モニタリング人材の配置 ..................................................................... 37（５）客観的評価を実施する際の留意事項 ................................................................. 38
Ⅴ 集合的な検討を踏まえた「オープン API」における安全対策の在り方 ............ 39
１「オープン API」における統制上の課題 ................................................................. 39

２「オープン API」における安全対策の在り方 .......................................................... 39

Ⅵ

今後の安対基準等改訂の考え方.............................................. 41
１

安全対策の基本原則の導入 ....................................................................................... 41２

安対基準の明確化 ...................................................................................................... 41（１）安対基準の対象の明確化.................................................................................... 41（２）「高い安対基準」
・「必要最低限の安対基準」の定義と位置づけの明確化 ......... 41ii

（３）技術的な基準の位置づけの明確化 ..................................................................... 41
３ 外部に対する統制基準の拡充.................................................................................... 41（１）統制の重点のシフトの反映 ................................................................................ 41（２）多様な形態を踏まえた統制基準の整理 .............................................................. 41
おわりに ..................................................................... 42「金融機関における FinTech に関する有識者検討会」委員・オブザーバー名簿 ........ 44
Ⅶ 資料編 ................................................................... 47【資料１】金融機関等における FinTech をめぐる動向 .................................................. 48【資料２】安対基準の適用手順 ....................................................................................... 54【資料３】FinTech 業務タイプ別類型に関する考察....................................................... 55【資料４】従来の安対基準の概要（外部委託関連） ...................................................... 59【資料５】「同等性の原則」という考え方 ....................................................................... 76【資料６】金融機械化財団 （仮称）設立趣意書（抜粋） ............................................. 79【資料７】クラウドの利用状況 ....................................................................................... 80【資料８】クラウドサービスの利用に関する海外監督当局の動向................................. 81【資料９】API 接続にあたって使用されるチェックリストに関する集合的な検討 ....... 85【資料 10】本検討会で取り上げた課題とその対策 ......................................................... 86

iii

はじめに
近年，金融機関，業界団体及び監督当局等において，FinTech と総称される IT を活用した革新的な金融サービスへの取組みが，急速に活発化している【資料編資料１参照】。
こうした取組みの活発化の結果として，今後，多岐にわたる FinTech の出現が予想される中，金融情報システムセンター（以下「FISC」という）においても，金融機
関等の動きと歩調をあわせて，FinTech に関する安全対策の在り方を，あらかじめ検討
しておくことが期待されている。
既に，FISC では，昨年６月に終了した「外部委託に関する有識者検討会」（以下「外部委託検討会」という）において，リスクベースアプローチや IT ガバナンスという新たな枠組みを提言し，金融情報システムにおける安全対策の考え方を，欧米先進諸国の動向等を踏まえて，大きく前進させてきたところである。
そうした外部委託検討会の成果を踏まえたうえで，わが国金融機関における FinTech
に関する安全対策の在り方について，明確かつ具体的な指針を示すために「金融機関における FinTech に関する有識者検討会」（以下「FinTech 検討会」という）を立ち上げ
ることとなった。
本検討会では，学識経験者や金融機関，ベンダー等の委員と官庁等のオブザーバーが参加し，わが国金融機関が，FinTech において，システムの安全性を確保しつつも，顧客のニーズに適応しイノベーションの成果を最大限享受しうることを目指して検討会が行われ，本報告書が取りまとめられた。
そのため，本報告書は，金融機関においては，システムリスク管理部門のみならず，
経営層，管理者，システム担当部門，システム監査部門等 IT ガバナンス・IT マネジメ
ントに携わる幅広い関係者にとっても，参考となる内容となっている。また，金融機関に留まらず，クラウド事業者を含む IT ベンダーや FinTech 企業等金融情報システムに携わる全ての関係者においても，参考とされることを期待する。

1

Ⅰ
１

FinTech に関する安全対策検討の在り方
検討の手順
まず，FinTechと総称される金融サービスに係る諸業務（以下「FinTech業務」という）は多岐にわたることから，そうした業務を担う情報システムが，安対基準 1の対象となるかどうか（あるいは対象とすべきかどうか），その判別を行うための基準が必要となる。
次に，安対基準の対象となる FinTech 業務を担う情報システムに安対基準を適用するに当たって，どのような付加的検討がなされるべきか，を検討することが必要となる【資料編資料２参照】。
FinTech 業務を担う情報システムが，重大な外部性を有する情報システム及び機微情報を保有する情報システム等（以下「重要な情報システム」という）に該当する場合は，安全対策における基本原則に従って，社会的・公共的観点から，その安全対策の達成目
標の設定に当たっては，「高い安対基準」の適用を求めることとなる。そのため，重要な情報システムで使用される FinTech に係るテクノロジー等が，これまで安対基準で前提とされていない新たな性質を有している場合には，それを「高い安対基準」に反映する必要がある。
一方，FinTech 業務を担う情報システムが，重要な情報システム以外の情報システム（以下「一般の情報システム」という）である場合は，十全なリスクベースアプローチを採用する金融機関においては，安全対策は独自に決定することが可能であることから，本検討会において，達成目標等について特段の付加的検討は不要である。
他方で，簡易なリスクベースアプローチを採用した金融機関においては，まず「必要最低限の安対基準」を安全対策の達成目標として設定することとなる 2が，多岐にわた
るFinTech業務の登場が予想される中で，安対基準の取扱いが明確でないがゆえに，「高い安対基準」を適用せざるをえないとされることが想定される。
このように，FinTech 業務を担う情報システムに対して，安対基準が形式的に適用されることがないよう，あらかじめ，従来の安対基準が前提としている事項や，従来の安対基準が必ずしも想定していなかった事項等の前提を明らかにしたうえで，FinTech に関する安対基準適用上の課題と安全対策の在り方等を明確にしていくことが必要である。

1

FISC『金融機関等のコンピュータシステムの安全対策基準・解説書』の略。ここでは，現行の第８版及び第８版追補
改訂だけでなく，FISC『外部委託検討会報告書』の成果も含むものとして使用する。
2 「必要最低限の安対基準」の前提となる「簡易なリスク管理策」について，これまでの有識者検討会において「クラウドサービス利用」，「外部委託」について，それぞれの安全対策の在り方を踏まえて提言が行われており，一律に「高い安対基準」が適用されることがないよう取組みが進んでいるところである。

2

２

安対基準の対象となる情報システムの判別基準
安対基準は，30 年以上前に策定されたその初版から一貫して「金融機関等 3のコン

ピュータシステム」をその対象としてきた。
「金融機関等のコンピュータシステム」とは，すなわち，金融業務を担う情報システムであり，かつ，その安全対策について金融機関等に責任が生じる情報システムのことをいう。したがって，FinTech業務を担う情報システムのうち，安対基準の対象となるのは，そのFinTech業務が金融業務であり，かつ，その安全対策について金融機関等に責任が生ずる情報システムである。
金融業務とは，金融機関等の業法等に基づいて，金融機関等が顧客に対して提供する
金融サービスに係る業務である。したがって，顧客に対して提供するサービスであっても，例えば，商品等の売買を目的とする電子商取引業務を担う情報システムは，金融サービスに係る業務を担う情報システムとは解されないことから，安対基準の対象とはならない。また，金融機関等の内部のみで利用される情報システム（例：人事給与シス
テム，経営情報システム等）は，安対基準の対象とはならない 4。
一方，金融機関等以外の事業者が，金融機関等あるいは金融機関等の顧客と何ら関係なく，みずからのサービス利用者のために行う FinTech 業務は，金融機関等に何ら安全対策上の責任が生じないことから，その情報システムは安対基準の対象とはならない。
３

重要な情報システムで利用される FinTech に係るテクノロジー等の取扱い
重要な情報システムでの利用が想定されるFinTechに係るテクノロジー等として，

ブロックチェーン技術やAI 5が考えられる。検討に当たっては，これらの要素技術は，それを用いた業務の事例（ユースケース）は幅広いと考えられることから，それぞれのユースケースに応じた技術的特性に着目して，検討を進める必要がある。もっとも，現状では，重要な情報システムにおけるユースケースが出現していないことから，直ちに検討を行うのではなく，今後のユースケースの出現状況等をにらみながら，検討が可能となる時期を確定させていくこととする。

3 安対基準では初版（昭和 60 年 12 月）以来「金融、保険、証券、クレジット等金融業務を営む業界の各社」と表記されている。
4 安対基準初版では「本基準は金融機関等が顧客に提供するサービスに関連するシステムを前提にしている。しかしながら、金融機関等の内部のみに利用されるシステムについても、安全対策上参考となる部分について、本基準を適宜取り入れることとする。
」とされており，現在まで，その考え方が基本的には踏襲されている。
5 人工知能。Artificial Intelligence の略。

3４ FinTech に関する安全対策の在り方を検討するに当たっての前提（１）安全対策実施上の新たな関係者となる FinTech 企業の登場
安対基準は，金融情報システムにおける安全対策実施上の関係者として，金融機関に加えて，情報システムの開発・運用の技術的役割を担う委託先であるITベンダー 6の２者を念頭に置き，策定されてきた。
しかしながら，FinTech業務を担う企業は，ITベンダーと類似の技術的な性質を有するとともに，金融関連サービスといったビジネスモデルの企画実施等を行う業務的な性質もあわせて有しており，こうした技術的な性質と業務的な性質 7を同時に有する関係者
は，従来の安対基準では，必ずしも明確に想定されてはいなかった。
したがって，安対基準を FinTech 業務に適用した場合に内在する問題を明らかにするに当たっては，金融機関，IT ベンダーに FinTech 企業を加えた３者関係を整理し，類型化したうえで，新たに登場した FinTech 企業等が果たすべき安全対策上の役割を検討することが有益である。
（２）金融機関が必ずしも主導的立場とならない業務形態の登場
安対基準では，金融機関が顧客に対して提供する金融サービスに係る業務を担う情報システムにおいては，金融機関に顧客に対する安全対策上の責任が存することを前提としてきた。これは，金融機関が顧客に提供する金融サービスに関して，金融機関がそのすべてを主導して決定する中では，当然の帰結である。
一方で，FinTechをめぐっては，近年，顧客と金融機関の間に介在するFinTech企業が登場している 8。その中には，金融機関のサービスを利用するために必要となるIDやパスワード等を顧客から提供され，それによって，みずから金融機関から顧客に関するデータを取得し，かつ，取得したデータに独自の価値を付加した後，顧客に対して直接的に金融関連サービスを提供している業者がある。このようなFinTech企業のサービ
スは，金融機関から取得するデータをサービスの源泉として利用しながらも，金融機関が顧客に対して提供するサービスでは得られなかった革新的なユーザー体験等を付加していること等が顧客から評価され，その利用が進んでいる状況にある 9。

6

安対基準においては，「IT ベンダー」だけでなく，「ベンダー」「コンピュータメーカー」等の用語が使用されているが，
ここではそうした技術的性質を有する当事者を「IT ベンダー」と総称する。なお，IT ベンダーには「クラウド事業者」
も含むものとして使用する。
7 FISC『外部委託検討会報告書』においては，業務的性質を有する関係者の安全対策における主な役割と責任として，「Ⅱ IT ガバナンスと IT マネジメント 2.(3)ユーザーの役割と責任」において，「①安全対策に配慮したビジネスモデ
ルの企画」「②投資効果の達成」「③業務要件の提示」が挙げられている。
8 顧客と金融機関の間に介在する FinTech 企業の中には，本文でとりあげた以外にも，店舗や金利等金融機関がホーム
ページ等を通じて一般的に広く公開しているデータ（オープンデータ）を利用する業者も考えられる。
9 金融審議会『金融制度ワーキング・グループ報告書』（平成 28 年 12 月 27 日公表）において「近年、金融機関と顧客との間に立ち、顧客からの委託を受けて、IT を活用した決済指図の伝達や金融機関における口座情報の取得・顧客への提供を業として行う者が登場・拡大している」とされている。

4

このようなFinTech企業が顧客に対して直接的に提供するサービスは，FinTech企業がそのすべてを主導して決定し，金融機関と何ら交渉を行うことなく，一方的に金融機関
から顧客に関するデータを取得することが可能な場合がある。こうした金融機関が完全に受動的立場となる場合は，金融機関には何ら統制の手段等が無いことから，金融機関において顧客に対する安全対策上の責任は生じないと解される。したがって，たとえ，金融機関の顧客に対して提供される金融関連サービスであっても，安対基準の対象とならないと解するのが妥当である 10。
他方で，顧客に対して，直接的にはFinTech企業がサービスを提供するものの，FinTech
企業と金融機関の間に交渉があり，その結果，金融機関がFinTech企業に提供するデータに関して，金融機関が決定を行うことが可能な場合がある。また，金融機関がFinTech企
業から受け入れるデータに関しても，金融機関が決定を行うことが可能な場合も考えられる。こうした，金融機関において，顧客に関するデータ 11の提供又は受入れに関して決定権が存する場合は，金融機関が部分的にせよ主導性を発揮しているものと考えられることから，金融機関に何らかの安全対策上の責任が生じていると解するのが妥当である。
したがって，FinTech企業が提供するサービスにおいて，情報システムにおける安全対策上の責任が，金融機関に部分的に生じる場合についても，安対基準の対象として，その安全対策の在り方を検討する必要がある 12。
なお，こうした金融機関の安全対策上の部分責任は，顧客の許諾があるとはしながらも，もともと金融機関に管理責任が存する顧客に関するデータを，第三者に提供すること，又は，第三者から受け入れたデータに従い顧客に関するデータへ更新を行うこと，に由来するものである。したがって，提供又は受入れに関するデータのリスク特性に着目し，それに応じて，安全対策の在り方を考えることとなる。その際には，リスクベー
スアプローチを踏まえると，データの提供に関しては，データの量のほか，データのリ
スク特性の１つである機微性の程度に着目することが適切である。機微性の程度とは，万一データがFinTech企業によって，本人の許諾した範囲を超えて利用された場合，あるいは一方的に外部に流出した場合等に，顧客が被ると想定される損失の程度のことをいう 13。また，データの受入れに関しては，受け入れたデータに従って行うデータへの更10

英国の『Open Banking Standard』（2016 年２月８日）では，「スクリーンスクレイピング」を取り上げ，一方的に金融機関から顧客に関するデータを取得する場合の問題として「ウェブサイト側でアクセスをコントロールしたり規制することができない。」「何か問題が発生しても，利用者は問題解決の手段がなく，銀行に頼ることもできない。」等が挙げられている。なお，これはスクリーンスクレイピングが採用されていることをもって，直ちに問題があるわけではなく，本来的には金融機関と交渉なくデータが取得されることが問題である点に留意が必要である。
11 金融機関が FinTech 企業に提供するデータとしては，例えば，顧客の取引履歴情報等がある。また，金融機関がFinTech 企業から受入れるデータとしては，例えば，決済指図が考えられる。
12 なお，安対基準では，金融機関が主導的立場とならない場合として，【運 90-1】において「外部委託」とは異なる「サービス利用」に関する基準がある。この基準では「各金融機関が、外部委託の管理と全く同様に、サービスの提供元を複数の中から選定することや、独自にリスク管理を行うことは難しく、また非効率な場合が多い。」とされ，各金融機関が負担する安全対策上の責任の程度を一般の外部委託と比して，限定的に解すべきとしたものである。ただし，この基準は「金融機関相互のシステム・ネットワーク」を対象としており，今回検討の対象となっている顧客に対するサービスには該当しない。
13 FISC『外部委託検討会報告書』において，機微性の程度が高い機微情報に関しては「その保護のために最上位の安全5

新の規模のほか，FinTech企業から受け入れたデータが顧客の指示に基づくものである
ことを，FinTech企業が適切に確認しているかといった，FinTech企業による顧客の本
人確認方法に着目することが適切である。
（図表１）金融機関が必ずしも主導的立場とならない業務形態
金融サービス「顧客に関するデータ」の提供

金融関連サービス
顧客

FinTech

金融機関

企業「顧客に関するデータ」の受入れ金融機関に決定権が存する（主導性を発揮している）部分については，金融機関において顧客に対する安全対策上の責任が生じるものと解される対策目標が設定されるべき」個人情報として，「本人の許諾なく機微情報が流出した場合、経済的損失にとどまらず、
基本的人権の侵害といった広範な損失を被る可能性があることから、その取扱いには社会的・公共的な性質を有するもの」とされている。

6

（３）FinTech 業務タイプ別類型
以上の新たな関係者や業務形態の登場を踏まえると，本検討において前提とすべき，
FinTech 業務のタイプ別の類型は（図表２）のとおりとなると考えられる【資料編資料
３参照】。
（図表２）FinTech 業務において安全対策実施上の関係者のタイプ別類型

タイプⅠは，外部委託関係として，３つの基本的類型となり，いずれも金融機関に安全対策上の十全な責任が生じる。タイプⅡはタイプⅠに，子会社に対する責任が付加されることで派生する類型である。タイプⅢは，タイプⅠと類似の類型だが，金融機関の安全対策上の責任が部分的となる。
以上の３タイプ７類型を前提に，従来の安対基準を適用した場合に内在する問題の有無について，具体的な検討を行う。
（４）FinTech 業務における安全対策の検討で考慮されるべき観点
問題の所在を明らかにするに当たり，そもそもどういう観点で問題を捉えるか，あらかじめ共有しておくことは有益である。
まず，本検討会の設立趣旨でもある「わが国金融機関が，FinTech において，システ
ムの安全性を確保しつつも，顧客のニーズに適応しイノベーションの成果を最大限享受しうることを目指して」いくという観点が，考慮されるべきである。
そのうえで，FinTech 業務を実施するに当たって，様々な類型が展開されることが想定される中で，例えば，安対基準が特定の類型の採用に当たり抑制的な効果をもたらすことがないよう留意することが必要である。安対基準は情報システムを対象とした安全
7

対策の基準であり，それ自体が，金融機関が様々に行うビジネスモデルの多様性を損なうようなことがあってはならない。仮に，特定の類型の採用に抑制的となる歪みがあるのであれば，問題として取り上げることが必要である（安対基準の中立性）。
一方で，金融機関に安全対策上の責任が生じる限りにおいては，その責任を果たすた
めに，安全対策の実施に当たっては，その実現能力，すなわち，外部委託される場合は委託先や再委託先への統制能力が，十全に確保されることが必要となる。しかしながら，多岐にわたる FinTech 業務の類型においては，金融機関がその安全対策上の責任を果た
すために必要となる統制能力が必ずしも十全に機能するとは限らない場合があるのであれば，問題として取り上げる必要がある（安対基準の有効性）。
次に，以上の，安対基準の中立性及び有効性といった観点は，必ずしも両立するものとは限らないことから，いずれの観点を優先させるべきか，あらかじめ，検討しておくことも考えられる。
仮に，中立性を優先させた場合には，多様なビジネスモデルを損なうことはなく，イノベーションの成果を享受し企業価値の最大化の実現に寄与することとなるものの，金融機関が顧客に対する安全対策上の責任を必ずしも果たせないこととなる懸念が生ずる。
一方で，有効性を優先させた場合には，FinTech 企業や IT ベンダーに固有の負担を求める，あるいはそのビジネスの自由度を制約することが想定され，結果として FinTech
企業の革新性を損なうこととなる懸念が生ずる。
こうした中立性と有効性がトレードオフとなる問題は，多様な状況で発生すると考えられることから，あらかじめそのいずれを優先すると判断することは難しく，個々の状
況に応じてケースバイケースで判断せざるをえないものと考えられる。
特に，簡易なリスクベースアプローチでは，従来の安対基準を適用した際に生じる個々の問題が明らかになった後に，中立性と有効性のいずれを優先させることが簡易なリスク管理策等を策定するに当たって妥当か，検討するのが適切であろう。
（５）「オープン API」との関係
タイプⅢの実現方法の１つとして「オープンAPI 14」と通称される方法がある。「オープンAPI」では，FinTech企業と金融機関の合意に基づいて，情報システム相互をシス
テム的に接続することとなる。これによって，FinTech企業は，金融機関との多様な情報の結合と協調した安全対策が可能となり，顧客に対して，利便性が高くかつ安全なサービスを提供することが可能となる。
APIによる事業者間のシステム連鎖は，技術的には，多対多でかつ多段階にわたり重層的に可能である。したがって，金融機関のAPI公開により，金融情報システムの連鎖に多様な関係者が携わることとなれば，情報結合の種類も多様となり，その多様性によ
14 金融審議会『金融制度ワーキング・グループ報告書』（平成 28 年 12 月 27 日公表）において「ここにおいて、API とは、銀行以外の者が銀行のシステムに接続し、その機能を利用することができるようにするためのプログラムを指し、このうち、銀行が FinTech 企業等に API を提供し、顧客の同意に基づいて、銀行システムへのアクセスを許諾することを、「オープン API」という」とされている。http://www.fsa.go.jp/singi/singi_kinyu/tosin/20161227-1.html

8

って，革新的なサービスの可能性が開かれる 15。社会的には，このような「オープン・
イノベーション」をもたらす環境を涵養していくことが期待されている。
一方で，システム連鎖に携わる関係者が多くなれば，その相互作用の中で，想定しなかったリスクが顕在化する可能性が高まると考えられる 16。そのため，安全対策に関しては，相互作用等に対処するために，関係者が集合（collect）し多面的な検討を行うこと（以下「集合的な検討」という）が重要となる（図表３）。
（図表３）オープン API におけるシステム連鎖関係

・・・

顧客

システム連鎖・・・

FinTech 企業
金融機関
API 接続・・・

サービスの提供

オープンAPIにおけるセキュリティの考え方に関する集合的な検討の１つとして，平成
28 年 10 月，一般社団法人全国銀行協会（以下「全銀協」という）を事務局，金融機関・
IT関連企業・金融行政当局等をメンバーとする「オープンAPIのあり方に関する検討会」（以下「銀行API検討会」という）が設置された 17。同検討会にはFISCもメンバーとして参加しており，本検討会は，銀行API検討会での議論 18も参考にしつつ検討を行う 19。

15

ネットワーク時代にオープン化がイノベーションをもたらすメカニズムについては，國領二郎『オープン・アーキテ
クチャ戦略 ネットワーク時代の協働モデル』（1999 年）が参考となる。
16 國領二郎『ソーシャルな資本主義 つながりの経営戦略』（2013 年）においては「多様な主体が発信する情報が結合する中から生まれる創発現象は、定義からいって完全にコントロールできるものではありません。しようとすると創発
現象そのものが起こらなくなってしまいます」「特に多くのシステムをつないで連動させるようなときには、想定しなかったような相互作用の中で暴走が始まり事故が起こることを覚悟しておかなければなりません。そして、その対応策を考え続けることが、事故が起こった場合の被害を小さくします」とされている。
17 https://www.zenginkyo.or.jp/news/detail/nid/6752/

18 https://www.zenginkyo.or.jp/news/detail/nid/7670/「オープン API のあり方に関する検討会報告書－オープン・イ
ノベーションの活性化に向けて－【中間的な整理（案）】」を以下「銀行 API 報告書」という。
19 その他にも平成 29 年３月から「クレジットカードデータ活用に係る API 連携に関する検討会」が経済産業省によって開催されており，クレジットカード会社や FinTech 業界代表者等が参加し，セキュリティ等の観点から，クレジット
カード会社と FinTech 企業が満たすべき基準はどうあるべきか，等について検討を行うとされている。

9

Ⅱ
１

FinTech に関する安対基準適用上の課題と安全対策の在り方
課題検討に当たって明確にしておくことが有益な事項（１）目標とすべき安全対策の効果
安対基準の対象となる FinTech 業務を担う情報システムについて，金融機関と IT ベ
ンダーに FinTech 企業を加えた３者関係を前提として検討することとなるが，どの程度の安全対策の効果を目標として検討を行うべきか，明確にしておくことは有益である。
金融情報システムに社会的に期待される安全対策の効果は，システム資源を自前で用意するのが一般的であった３０年前に，安対基準の策定という形ではじめて具現化された。
その後，安対基準に具現化された安全対策の効果は，金融機関に対する社会的期待の変化を反映する一方で，IT ベンダーへの依存度の高まりといった金融機関の事情による変化の影響を受けることなく，金融機関と IT ベンダーの２者関係の中でも維持されてきたものと考えられる。
したがって，金融機関がイノベーションの成果の享受を目指す中で，FinTech 企業という新たな関係者が登場する場合であっても，安全対策の効果は，従来の安対基準において実現される２者関係における安全対策の効果と比較して，同等となるよう留意することが重要である（以下「同等性の原則」という）。
また，２者と３者で同等の安全対策の効果の実現を目指す場合，中立性及び有効性といった観点から，従来の安対基準に対する調整は必要十分な範囲にとどめることが重要である。すなわち，その調整によって，金融機関及び IT ベンダー等の負担が必要な範囲を超えて増加することがないよう留意することが重要である。
（２）安対基準における検討対象領域
従来の安対基準には，「コンピュータシステムが収容される建物，設備」を対象とした設備基準及び「ハードウェア，ソフトウェア等」を対象とした技術基準のようにモノを対象とした基準と，開発・運用管理体制等を対象とした運用基準のようにヒトを対象とした基準があり，いずれの基準を主に検討の対象とするか，明確にしておくことは有益である。
モノを対象とする設備基準や技術基準 20は，今後，多岐にわたるFinTechの出現が予想される中では，個別具体的な技術を前提として安全対策を特定することは困難であり，また，FinTechをめぐる環境が変化する中，個々の安全対策を確定的に設定することも適切ではない。そのため，設備基準や技術基準に関しては，金融機関において，個々のFinTech業務のリスク特性に応じた安全対策が独自に決定され，「安全対策における基本

20 技術基準の中には，技術変化の影響を受けやすい部分とそうでない部分が混在していることに留意が必要である。

10

原則 21」に従ってITガバナンスが行われていれば十分である。
一方，ヒトを対象とする運用基準は，多岐にわたる FinTech の出現に際しても，その多種多様な技術等に左右されることなく適用可能なものと考えられることから，本検討においては，運用基準を主として対象とすることが適切である。
また，FinTech 業務は，金融機関の FinTech 企業に対する外部委託という形態で実現される場合があることから，運用基準の中でも，外部委託に関する基準を主な対象として検討することが適切である。
（３）簡易なリスク管理策の性質
簡易なリスク管理策の検討に当たっては，その性質をあらかじめ明らかにしておくことが有益である。
簡易なリスク管理策は，まず重要な情報システムに対する統制が設定されていることを前提として，その統制を，一般の情報システムに対しては，緩和することで導出され「最低限ここまるものである。その反面，「必要最低限の基準 22」と表現されるとおり，
では実施しておくべき」という拘束性も有している。
そのため，簡易なリスク管理策の設定が不適切であると，中立性や有効性を損なうのみならず，恒常的に，過度な安全対策あるいは不十分な安全対策を招来することとなる
ことから，その検討に当たっては，FinTech 企業をはじめとする関係者が，個々の情報システムの現場で直面している，安全対策に関する問題認識が正しく反映されるよう留意するとともに，慎重な検討が行われることが重要である。
（４）クラウドサービスの利用に関する安対基準の取扱い
FinTech 企業においては，IT ベンダーの中でも，クラウド事業者に情報システムの運用を委託することが多いと言われていることから，あらためて，安対基準において「クラウドサービスの利用」に関する基準が，どのように位置づけられるか，確認しておくことが有益である。
まず，安対基準において，クラウドサービスは外部委託の一形態として捉えられてい「クラウドサービスの利用」に関する安対基準は，今後，クラウドサービ
る 23。さらに，
ス固有の内容等を除いたうえで外部委託全般の基準として参考としていくこととなっている 24。こうした安対基準の改訂は，外部委託検討会及び本検討会の成果も踏まえて行21

FISC『外部委託検討会報告書』で提言された，リスクベースアプローチを踏まえた４原則のこと。
FISC『外部委託検討会報告書』において，「必要最低限の安対基準の意義」について「比較的低リスクな情報システム
に対する安全対策として『簡易なリスク管理策』の通称で示され、安対基準の中では『可能である』と表記上区分されている基準と類似の性質を有する。」としている。また，「安全対策の不確実性を低減するという目的の範囲内で定められるべきものである。」としている。
23 安対基準の運用基準「（ⅩⅣ）クラウドサービスの利用」において，「クラウドサービスの利用にあたって、（中略）外部委託管理の考え方に沿って、適切なリスク管理を行うことが必要である。」としている。また，FISC『外部委託検討会報告書』５．外部委託の概念において，クラウドは外部委託の範囲に含まれるものとして整理されている。
24 FISC『外部委託検討会報告書』脚注 31 において，「クラウドサービスの基準のうち外部委託全般に適用可能なものは参考とすべきであり、一方クラウド固有として考えられる基準は外部委託一般の基準にはしない、という整理を行う必要がある。」としている。
22

11

われることとなっている 25ため，現時点では，こうした整理が行われた後の外部委託の安対基準（クラウドサービスを含む）として，確定的なものは存在しないことに留意が必要である。
そのため，本検討会において，検討を行うのに必要な範囲で，暫定的に従来の安対基
準のうち外部委託に関する基準の概要を明確にすることが必要である。
次に，「クラウドサービスの利用」に関する安対基準の前提となった FISC「金融機関におけるクラウド利用に関する有識者検討会」（以下「クラウド検討会」という）報告書は，その後続の検討会である外部委託検討会報告書で提言された「重要な情報システ
ムの意義」を踏まえているとは必ずしも言えないため，クラウド検討会報告書のリスク管理策が，「重要な情報システム」においてもそのまま適用可能か，不確実性が残る現状にある。
簡易なリスク管理策が，重要な情報システムに対する管理策をもとに，その統制の程度を緩和することで導出されることに鑑みれば，こうした事情にも留意することが望ましい。
以上の留意事項を解決するため，本検討会において，クラウドサービスを利用する場
合の管理策について，外部委託検討会報告書の成果を踏まえて，補足的な検討を行う。
これにより，重要な情報システムでクラウドサービスを利用した FinTech のユース
ケース（ブロックチェーン・AI 等）が登場した際にも，その前提が明確化されていることとなる。

25 FISC『外部委託検討会報告書』において，「安対基準等の改訂は、FinTech 検討会の終了を待って、外部委託及びFinTech の両検討会の成果を踏まえて、行うこととする。」としている。

12

２

従来の安対基準に基づく関係者の責務（１）関係者の責務
まず，内在する問題を検討するに当たり，「従来の安対基準の概要（外部委託関連）」を，タイプⅠの３者関係に置き直して整理を行った。【資料編資料４参照】
整理に当たっては，安全対策実施上の関係者それぞれの責務を以下のとおり分類している。


外部委託利用時の金融機関の責務・・【責務Ａ】

一次委託先の責務・・【責務Ｂ】

金融機関の一次委託先として負う責務・・【責務Ｂ－１】
金融機関の再委託先に対する責務
・・【責務Ｂ－２】

金融機関の再委託先として負う責務 ・・【責務Ｃ】

関係者が以上の責務を適切に果たすことで，FinTech においても安全対策の効果が実現できるが，その場合に内在する問題は，新たな関係者となる FinTech 企業において，具体的に認識されることから，FinTech 企業の責務に着目し，（図表４）の㋑㋺㋩のタ
イプ別類型で整理すると，（図表５）のとおりとなる。
（図表４）FinTech 業務において安全対策実施上の関係者のタイプ別類型

13

（図表５）FinTech 企業の責務例【㋑の類型】【責務Ｂ－１】金融機関の一次委託先として負う主な責務

注

a.利用検討時

3

金融機関が客観的評価を実施するために必要とする情報を，金融機関に提供する責務

b.契約締結時

d.運用時

金融機関にデータの所在に関する情報を提供する責務

7

機密保護や安全な作業の遂行等を契約として，金融機関と締結する責務

11

金融機関による再委託先への監査権を明記する責務

14

金融機関が再委託先の事前審査を行うことに対応する責務

25

金融機関からデータ管理を受託する場合，漏洩防止策を講じる責務

28

記憶装置の故障等により，機器・部品を交換する場合には，データ消去を含29

めた十分な管理を行う責務
金融機関からの日常的監視を受忍する責務

30

金融機関からシステムに関する総合的な監査・評価を受忍する責務

31【責務Ｂ－２】金融機関の再委託先に対する主な責務

注a.利用検討時

3

金融機関の再委託先を客観的に評価する責務【簡】公開情報や業界における評判や実績等による評価でも可能

7

データの所在を把握する責務【簡】データの所在の把握について省略することも可能
b.契約締結時

機密保護や安全な作業の遂行等を契約として，金融機関の再委託先と締結す11る責務
金融機関による再委託先への監査権を明記する責務

14【簡】監査権を明記しないことが可能

d.運用時

再委託先に対して適切な事前審査を行う責務

25

再委託先に金融機関のデータ管理を委託する場合，漏洩防止策を実施させる

28

責務
記憶装置の故障等により，機器・部品を交換する場合には，データ消去を含29

めた十分な管理を行わせる責務【簡】消去・破壊プロセスの実効性を検証することで代替可能
再委託先を日常的に監視する責務

30

再委託先に対してシステムに関する総合的な監査・評価を行う責務

31【簡】第三者認証等を活用することで代替可能

14

【㋺の類型】【責務Ｃ】金融機関の再委託先として負う主な責務
a.利用検討時注

IT ベンダーが客観的評価を実施するために必要となる情報を，IT ベンダーに 3提供する責務b.契約締結時

d.運用時

機密保護や安全な業務の遂行等を契約として，IT ベンダーと締結する責務

11

金融機関による監査権を明記する責務

14

IT ベンダーからの日常的監視を受忍する責務

30

IT ベンダーからシステムに関する総合的な監査・評価を受忍する責務

31【㋩の類型】【責務Ｂ－１】金融機関の一次委託先として負う主な責務

注

a.利用検討時

3

金融機関が客観的評価を実施するために必要とする情報を，金融機関に提供する責務

b.契約締結時

機密保護や安全な作業の遂行等を契約として，金融機関と締結する責務

11

d.運用時

金融機関からの日常的監視を受忍する責務

30

金融機関からシステムに関する総合的な監査・評価を受忍する責務

31【簡】…既に策定されている簡易なリスク管理策

注…【資料編資料４】の通番を記載（２）内在する問題へのアプローチ
以上の整理を踏まえて，従来の安対基準（外部委託関連）を FinTech 業務に適用した
場合に内在する問題を検討するに当たっては，以下のアプローチで，タイプ別に検討を行う。


タイプⅠの場合，従来の安対基準を適用することで，問題が生じることはないか。



タイプⅢの場合，そもそも従来の安対基準を適用することが，妥当であるか。

なお，タイプⅡについては，タイプⅠに異なる責任が付加される類型であることから，個別に検討を行う。

15

３

タイプⅠにおいて内在する問題と安全対策の在り方
タイプⅠにおいて，FinTech 企業は，【責務Ｂ】あるいは【責務Ｃ】を担うこととなる。

そもそも，従来の安対基準では，金融機関と IT ベンダーの２者を念頭に置き策定されてきたことから，【責務Ｂ】あるいは【責務Ｃ】は，IT ベンダーの安全対策遂行能力を念頭において策定されてきたものである。
し た が っ て ，【 責 務 Ｂ 】 あ る い は 【 責 務 Ｃ 】 を ， FinTech企 業 が 担 う 場 合 に は ，FinTech企業の安全対策遂行能力 26（保有する経営資源等）と比して，バランスを欠いたものとなっていないか，という問題が内在している。
そのため，FinTech 企業に対して，IT ベンダーに求めてきたものと同様の安対基準の適 用 を ， 形 式 的 に 求 め た 場 合 ， 安 全 対 策 遂 行 能 力 が IT ベ ン ダ ー と 同 程 度 で な い
FinTech 企業においては，安全対策負担を過大とし，その負担を回避するインセンティ
ブが生じることとなり，その結果として，FinTech 企業のビジネスモデルの選択に，歪みを与える可能性がある（中立性の観点）。あるいは，FinTech 企業が，過大な安全対策負担になんとか応えようとした場合，その結果として，内部の経営資源を安全対策に優先的に配分することとなり，そのイノベーションを損なう可能性がある（イノベー
ションの成果を享受する観点）。
一方で，FinTech 企業が加わる３者関係の場合であっても，その安全対策の効果は，
従来の２者関係における安全対策の効果と比較して，同等とすべきという考え方（同等性の原則）に立てば，単に，金融機関が，FinTech 企業の負担を，その安全対策遂行能力に見合う程度で十分として残存リスクを受容する，あるいは，FinTech 企業の安全対策遂行能力に合わせて，リスク管理策を調整することでは，本質的な問題は解決しない（有効性の観点）。
そもそも，金融機関は，企業価値の最大化を目指して，FinTech 企業の革新的な性質をみずからの業務で利用すべく外部委託を行うのであって，必ずしも FinTech 企業に
IT ベンダーの役割を全面的に代替させるために外部委託を行うわけではない。
したがって，まず，金融機関は，FinTech 企業の安全対策遂行能力を確認したうえで，
仮に FinTech 企業の能力を超える過大な責務があれば，その部分については，金融機関
や IT ベンダーが分担することで，FinTech 企業の革新性を損なわずに安全対策の効果を達成できるよう配慮して，取り組んでいけばよい。
すなわち，この問題を解決するには，２者関係を念頭に置いた従来の安対基準において求められる責務の総体を維持しつつ，その責務を，３者の各類型における役割や３者の安全対策遂行能力（保有する経営資源等）に応じて，合理的に再配分しうることを，
26

安全対策遂行能力のうち基礎的な部分は，安全対策に係る内部統制を実質的に機能させることができる能力であり，例えば，安全対策上の問題があればみずからそれを特定し，みずからそれに対処し，さらに，問題の抽出と対処という改善活動を，みずから継続的に実施できる能力である（安全対策の PDCA サイクルを十全に機能させられる能力）。
こうした安全対策遂行能力の基礎的な部分は，金融関連サービスを担う FinTech 企業においても，最低限求められるべきものである。したがって，安全対策遂行能力とは，ある時点において，個別の安全対策を実施済みであるといった，
形式的に確認できる状態のことを必ずしも意味しない。

16

明示的に認めることが適当である。
なお，責務の再配分に際しては，責務を負担可能な関係者が複数いる場合は，安全対策における社会的な費用の最小化の観点から，追加費用負担が少ない者に責務を再配分することが望ましい 27。
（再配分ルール）【資料編資料５参照】
金融機関，ITベンダー及びFinTech企業は，３者の合意の上，従来の安対基準における外部委託の責務を，３者で再配分 28することが可能である 29。
再配分に当たっては，「同等性の原則」に従って，必要な範囲を超えて関係者の負担が増加することがないよう留意する必要がある。なお，追加負担費用が少ない関係者に責務を再配分することが，安全対策における社会的な費用の最小化に資することとなる。
なお，以上のルールは，タイプⅠ以外の類型や「重要な情報システム」においても妥
当な考え方である。

４

タイプⅢにおいて内在する問題と安全対策の在り方（１）金融機関の安全対策上の責任
タイプⅢは，FinTech 企業が金融関連サービスを主導する形態であり，金融機関とFinTech 企業の関係は，必ずしも外部委託と特徴づけられる形態にとどまらない多様な形態を取りうる。そのため，タイプⅢでは，金融機関と FinTech 企業の関係が，外部委
託にとどまらない幅広い形態になった場合でも柔軟に対応しうるような，安全対策の在り方を検討する必要がある。
これについては，金融機関と FinTech 企業の関係がいかなる形態となるにせよ，金融機関の立場から FinTech 業務の実質的な内容をみれば，外部委託と共通する要素が見出

27 仮に，FinTech 企業の負担費用の最小化が選択される場合，金融機関が FinTech 企業に代わって責務を負担することが明らかとなり，FinTech 企業には，安全対策上の責務を全く果たさなくても，金融機関が負担してくれるのではない
かという期待が生まれる可能性がある。一方，金融機関の負担費用の最小化が選択される場合，FinTech 企業が，負担を求められるのを避けるべく，負担を求められても対応が不可能であると，あらかじめ安全対策遂行能力を過小に申告する可能性がある。したがって，社会的な観点からは，関係者が，協調しつつ，負担費用の総和を最小化すべく検討が行われることが望ましい。また，適切な情報開示等による協調を確実に実現するためには，責務を負担した関係者に応分の利益が還元されるスキームを，あらかじめ合意しておくことが考えられる。
28 例えば，３者契約により，金融機関が，FinTech 企業に代わって，IT ベンダーを統制する【責務Ｂ－２】の一部を担うことで，金融機関みずからが IT ベンダーに統制を行うことが考えられる。
29 FinTech 企業の規模や業態は多様であることから，責務の再配分の分担内容をあらかじめ確定的に定めることは適切ではない。金融機関は，外部委託を行う FinTech 企業や IT ベンダーの実態に応じて，合理的に，その分担内容を，区々に決定すれば十分である。あるいは，分担内容の見直しありきではなく，FinTech 企業がその安全対策上の責務を果たせるように，金融機関が研修等の支援を行うことも考えられる。

17

される可能性が高い。他方で，従来の安対基準において，外部委託に関する基準は，環境変化等に応じて見直され，完備されてきたのに対して，それ以外の形態については，
必ずしも明示的な基準は存在していない。したがって，タイプⅢにおける安全対策の在り方として，基本的には外部委託の基準を「準用」することとし，それでは対応できな
い個別の事情がある場合に，必要に応じて修正を行うことが妥当である。
次に，外部委託基準の準用を考えるに当たっては，そもそも，外部委託の基準には，
利用検討時・運用時等の管理フェーズにおける客観的評価・モニタリングの実施といった「統制の方法」に関する基準と，データ漏洩防止対策としての暗号化の実施といった「統制の内容」に関する基準があることに留意が必要である（図表６）。
（図表６）統制の方法と内容
主な管理
フェーズ

利用検討時

契約締結時

運用時

統制の方法

客観的評価

契約締結

モニタリング(日常的監視・監査)

統制の内容

データの保全に関する事項，本人確認に関する事項，
サービスの可用性に関する事項，障害管理に関する事項
契約書

チェックリスト

等
監視・
監査項目

準用に当たっては，まず，統制の方法に関しては，金融機関に何らかの安全対策上の責任が生じる限りにおいては，程度の差こそあれ，外部委託と同様に実施されるべきものと考えられる。
（図表７）タイプⅢにおける金融機関の関心項目例
a.利用検討時

客観的評価の実施
FinTech 企業は，金融機関が有する安全対策上の管理責任と同等の責任を果たしう
るか。あるいは，金融機関が FinTech 企業に求める管理責任を果たしうるか。例えば，FinTech 企業は，安全対策において必要となる安全対策遂行能力（保有する経営資源等）を有しているか。

b.契約締結時安全対策を盛り込んだ契約の締結
FinTech 企業は，金融機関と安全対策を盛り込んだ契約を締結するか。また，
FinTech 企業は，IT ベンダーと安全対策を盛り込んだ契約を締結しているか（例えば，データ漏洩時の通知や損害賠償等の取決め等）
。

d.運用時

日常的監視
FinTech 企業は，金融機関に対して，安全対策の実行状況を報告することが可能か。
システム監査体制の整備
FinTech 企業は，監査・評価を受忍するか。

18

一方で，統制の内容に関しては，安全対策上の責任が生じる部分についてのみ実施されれば十分と考えられる。
金融関連サービスを FinTech 企業が主導する場合においては，金融機関の安全対策上の部分責任は，顧客に関するデータの提供又は受入れに由来することから，金融機関の統制の内容は，FinTech 企業が提供したデータを適切に管理しているか，
又は FinTech 企業から受け入れたデータが顧客の指示に基づくものであることを，
FinTech 企業が適切に確認しているか，という部分に集中することとなる。
以上のとおり，タイプⅢにおいて，金融機関が FinTech 企業へデータを提供する，又はデータを受け入れる際に負う責務は，顧客に関するデータの保全，又は本人確認に係る部分に限定されると解されることから，この部分について，FinTech 企業において有効な安全対策が実施され，その効果が実現されていることが検証できれば，金融機関のリスク管理策としては十分と考えられる。
なお，タイプⅢにおいて，顧客に関するデータの保全又は本人確認に係る部分以外の項目（例えば，システムの安定稼働等）については，金融機関の関心の外であり，金融機関の立場からは，特段の統制の必要は生じない。ただし，金融機関が関心を持たない項目があることに起因して，FinTech 企業において行われるべきシステムに対する統制
全体の程度が低下し，その結果，データの保全又は本人確認に係る安全対策の効果まで損なわれることとなる場合には，金融機関は，FinTech 企業に対して，関心外の項目に対しても，何らかの付加的な統制を講ずる必要があることに留意が必要である。
（外部委託基準の準用ルール）
タイプⅢにおいて，金融機関は，従来の外部委託の基準を準用することが可能である。その場合，金融機関の責務は，FinTech 企業における顧客に関するデータの保全，又は本人確認に係る部分に限定される。
なお，金融機関の責務以外の部分に由来して，金融機関の責務部分の安全対策の効果が得られない場合は，金融機関の責務部分以外に対しても付加的な安全対策を講ずる必要がある。
（２）FinTech 企業に残る安全対策上の責任
タイプⅢにおいては，FinTech 企業は，情報システムの運用をクラウド事業者をはじめとした IT ベンダーに委託して実施することが一般的である。したがって，外部委託の基準の準用という観点では，FinTech 企業は，金融機関から求められる責務と一体不可分な形で，【責務Ａ】の一部を担うことが，社会的には期待される。
さらに，FinTech 企業は，みずからが主導して金融関連サービスを提供していることから，顧客に対する一義的な安全対策上の責任は FinTech 企業が担うものと解される。
そのため，FinTech 企業は，外部委託にとどまらず，サービス全般において，適切な安全対策を実施することが，社会的には期待されている。
したがって，FinTech 企業において，例えば，安対基準と整合的に業界の自主基準が19策定されること等を通じて，主体的に安全対策に関する取組みが進められることが期待される（「Ⅲ 安対基準の対象外となる FinTech 業務の取扱い」において詳述）。
（３）金融機関に責任が生じない場合の取扱い
FinTech 企業が主導し，かつ，金融機関と何ら交渉を行うことなく，一方的に金融機関
から顧客に関するデータを取得するような，金融機関が完全に受動的立場となる金融関連サービスにおいては，金融機関には安全対策上の責任は生じないと解することとなる。
しかしながら，顧客の立場に立てば，こうした金融関連サービスを利用した場合には，何か問題が発生しても金融機関に頼ることができない，といった事態となることから，金融機関は，みずからの顧客に対して，「一方的に金融機関から顧客に関するデータを取得するような金融関連サービス」を利用する場合の留意事項について，あらかじめ，注
意喚起を行っておくことが望ましい。
５

関係者間の協調
上記検討から明らかなように，FinTech 業務における適切な安全対策の実施には，金融機関，IT ベンダー及び FinTech 企業の３者が，密接に協調することが不可欠であり，これを欠いた場合には，利用者に不測の損害をもたらすおそれがある。
こうした協調の最も中心的な部分は，利用検討時やインシデント発生時等，それぞれの管理フェーズにおいて，FinTech 企業から金融機関に対して，情報（システムリスク
に関するものを含む）が適切に開示されることにあるが，他方で，これを FinTech 企業に対して必要な範囲を超えて求めれば，FinTech 企業に過度な負担を強いることとなり，そのイノベーションを損なうことにもなりかねない。
したがって，安全対策に係る情報開示が協調して適切に行われるよう，あらかじめ３者間で，合意をしておくことが望ましい（協調の原則）。
また，協調の手段として，外部委託先評価時に使用されるチェックリスト 30を活用することが望ましい。そのためには，例えば，従来使用しているチェックリストを，協調を促すための情報共有手段としても位置づけ，簡素化も含め内容を見直すことが考えられる。
以上のとおり，
FinTech 業務に携わる金融機関，
IT ベンダー及び FinTech 企業の３者は，いずれの類型であったとしても，システムの安全性の確保とイノベーションの成果の享受を両立させるべく，密接に協調しながら，安全対策に取り組むことが必要である。

30 従来の安対基準においては，外部委託の利用検討時に「外部委託先を客観的に評価すること」とされており，実際の評価に当たって，金融機関は，システムリスクを含む外部委託全般に係るリスクを評価する汎用的なチェックリストを利用するのが一般的である。利用に当たっては，例えば，チェックリストを外部委託先に手交し自己チェックを依頼した後に，自己チェック結果に基づいてヒアリングを行う等の方法が取られる。

20

６

タイプⅡの特性を踏まえた補足的検討
上記検討を踏まえたうえで，派生形であるタイプⅡが，安全対策上どのような特性を有するか，また，どのような補足が必要か，個別に検討を行う。
（１）タイプⅡの特性
一般的に，金融機関は，子会社に対して，当該子会社の金融グループ経営上の位置づ
けや役割，あるいは規模等に応じて，個別の経営管理契約を結んだうえで，管理・統制を行っている。例えば，リスク管理状況のモニタリング等を通じて助言・指導を恒常的に行う，あるいは，重要事項の報告義務を定めること等を通じて情報の適時適切な把握を行っている。したがって，FinTech 企業に対して子会社に対する責任も生じるタイプ
Ⅱでは，外部委託先に対する統制に加えて，こうした子会社に対する統制が付加されることとなる。
これにより，統制面においては，タイプⅡは，他タイプと比較して，統制の接点が多く，かつ実効的な情報開示も担保されている場合があり，FinTech 業務において目指されるべき「関係者間の協調による適切な安全対策の実施」が，金融機関と FinTech 企業の両者において，比較的円滑に可能となると考えられる。
一方，タイプⅡは，経営資源配分面においては，客観的評価の結果，FinTech 企業の安全対策遂行能力が十全でなく，かつ安全対策に追加的に配分可能な経営資源がない場
合には，責務の再配分という方法だけでなく，増資や人材の派遣等を通じて，FinTech
企業の経営資源を補強することも選択することが可能となる。
以上のことから，統 制と経営資源配 分の両 面から，タイプ Ⅱは， 金融機関及びFinTech 企業にとって，システムの安全性を確保しつつイノベーションの成果を享受するという目的に対して，一つの解決策を提供する類型であると考えられる。
（２）補足
金融機関の内部では，経営管理と外部委託管理が，異なる窓口部署・管理項目・管理
周期で行われる場合がある（図表８参照 31）。そのため，FinTech企業においては，同一金融機関とのやりとりであるにも関わらず，別個の対応を求められる場合も想定される。
これは，FinTech企業において負担となる局面も予想されることから，負担を求めることがイノベーションを損なう可能性がある場合は，経営管理と外部委託管理を行う部署間で連携をして，FinTech企業に過度な負担が生じないよう注意を払うことが望ましい 32。

31

ここでは，
（図表８）として，システム子会社の例を取り上げているが，これはシステム子会社と FinTech 企業で，全く同様の経営管理あるいは外部委託管理が行われるべきと意図しているわけではない。FinTech 企業に対しては，金融グ
ループ内での位置づけ等実態に応じて，金融機関において区々の管理が行われるものである。
32 なお，金融機関においては，経営管理と外部委託管理は，それぞれ異なる観点から行われており，どちらかを省略できるというものではない。また，（図表８）にあるとおり，既に管理の効率化に関して様々な工夫も行われている。

21

（図表８）経営管理と外部委託管理の実態調査（システム子会社の例） ※１
経営管理
窓口

管理項目例

部署

経営企画
部門
/
システム
企画部門

外部委託管理
管理

窓口

周期

部署

管理項目例

重要事項の決定の事前承認

再委託管理状況の把握

・株主や役員の変更

・新規再委託先の事前審査

・大規模システム投資

・再委託先管理状況の把握

等

等
リスク管

事業計画の実施状況の把握
リスク管理状況の把握
・リスク管理規程
・大規模システム障害の発生

理部門
/

※２

システム
担当部門

等

管理
周期

委託業務の実施状況の把握
・作業実績
・本番データ利用実績※２等
システムリスク管理状況の把握・システムリスク評価結果
・システム障害と分析結果
等※１

システム子会社を傘下に保有する複数の銀行に対して調査を実施した。

※２

管理項目によって都度もしくは定期に実施されているが経営管理と外部委託管理で必ずしも同一ではない。

【管理の実効性・効率性を向上させる工夫】
親会社と子会社が同一の建物に入居している。
親会社による研修を実施している。
拠点内再委託先は定例報告を省略している。
親会社と子会社で規定を共通化している。
メール等のシステムを親会社と共通化している。
等

22

７

FinTech 業務を担う情報システムの安全対策上の取扱い
本検討会では，FinTech業務を担う情報システムは，当初は，一般の情報システムである場合が大半であると想定して検討を行ってきた。しかしながら，FinTech業務を担
う情報システムにおけるリスクの顕在化が，重要な情報システムが提供するサービスに重大な影響を及ぼす場合 33には，FinTech業務を担う情報システムを重要な情報システ
ムと一体とみなして，安全対策上取り扱うことが必要となる。
他方で，個々の情報システムの対象範囲は，金融機関において独自に判断されることから，FinTech 業務を担う情報システムにおけるリスクの顕在化が，重要な情報システ
ムが提供するサービスに重大な影響を及ぼさないにも関わらず，一体として，安全対策
上取り扱われる可能性がある。
その場合，リスクの高いシステムに引きずられて，FinTech 業務を担う情報システムにも「高い安対基準」の適用を求めざるをえないと判断される可能性があるとともに，その影響を受けて，金融機関の FinTech 業務への取組みそのものが抑制的となる懸念がある。
イノベーションの成果を享受する観点からは，こうした問題にあらかじめ対処しておくことが望ましく，そのためには，以下の要件をすべて充足する情報システムを，「分離可能なサブシステム」として，独立して取り扱うことが可能であることを，明確にすることが考えられる。
（１）リスク顕在化時の影響の分離可能性
サブシステム内で発生したシステム障害等のリスク顕在化の影響を，システム全体が提供するサービスに波及させないことが可能であること。
（２）リスク特性の分離可能性
システム全体のリスク特性と比較して，サブシステムのリスク特性が顕著に異質 34であること。
（３）リスク管理の分離可能性
リスク評価，安全対策，リスク顕在化後の事後対策といったリスク管理を当該サブシ
ステム内で完結して実施することが可能であること。
金融機関は，以上の考え方に留意しつつ，FinTech 業務を担う情報システムの安全対策上の取扱いを検討することが望ましい。
33 例えば，金融機関が，窓口を持たず，決済指図受入れ手段として，FinTech 企業との API 接続以外に手段が無い場合には，API 接続を行うシステムが停止すると，勘定系基幹システムが停止していなくても，結果として決済サービス自体が停止することとなる。
34 例えば，システム全体では，顧客情報が保有されているが，該当のサブシステム内には顧客情報が保有されていない場合等が考えられる。

23

Ⅲ
１

安対基準の対象外となる FinTech 業務の取扱い
安対基準における従来の対象の取扱い

安対基準の対象となる情報システムは，金融業務を担う情報システムであり，かつ，
その安全対策について金融機関等に責任が生じる情報システムである。これは，簡単に言えば，「金融機関が行う金融業務」を担う情報システムである。したがって，「金融機関が行う非金融業務」「非金融機関が行う金融業務」「非金融機関が行う非金融業務」を担う情報システムは，安対基準の直接的な対象とはならない。
ただし，「金融機関が行う非金融業務」を担う情報システムについては，同一金融機関の運営する情報システムであり，かつ，「安全対策に係る方針」のもとで，共通する
安全対策も多いと想定されることから，金融業務の性質を前提とした安対基準をそのま
ま全面的に「適用」することは適切でないとしても，安対基準のうち非金融業務を担う
情報システムの安全対策においても有益な部分については「参考」とする，すなわち，金融機関の業務の実態に即して適宜取り入れることが望ましい，という考え方に立っている 35。
一方，「非金融機関の行う金融業務」（例えば非金融機関が行う資金決済法上の前払い式支払手段や資金移動といった業務）は，「金融機関の行う金融業務」と機能的に類似する部分があり，安対基準の安全対策が部分的に有益となることは否定できないにしても，以下の経緯から，その業務を担う情報システムは対象とされていないとするのが，従来からの考え方である。


安対基準は，FISC会員によって策定される自主基準である。一般的に，自主基
準とは，「国家等によって明確に規定され，裁判所などを通じて強制的に執行される法律」（ハードロー）と異なり，「私的な取決めや申し合わせ」（ソフトロー）36の一種であり，その社会的規範性は，自主基準の策定過程に明示的に参画した当事者においてのみ生ずるものと解される。安対基準はその会員である金融情報システムを担う当事者 37の中でも金融機関を中心に策定されており，その策定過程 38に「金融業務を行う非金融機関」の業界代表等は，必ずしも明示的に参画していない。そのため，そうした非金融機関を，一方的に安対基準の適用対象とすることには無理がある。

35

脚注４を参照。
ソフトローとハードローの説明については，中山信弘編集代表『ソフトローの基礎理論』（2008 年）中の第３部第１章瀬下博之『ソフトローとハードロー』から引用。
37 平成 29 年３月末現在，FISC 会員数 644 社のうち金融機関は 542 社と，その 84%を占める。
38 安対基準は FISC 会員代表者を中心に構成される安全対策専門委員会とその下部組織である安全対策基準改訂に関する検討部会で検討を行った後，会員への意見募集を経て策定される。
36

24



安 対 基 準 は ， 金融 庁 の検 査 マ ニ ュ ア ル等 に おい て 言 及 さ れ るこ と によ り ，
FISC 会員の枠を超えて，金融庁監督下の金融機関が，事実上適用対象とされているが，その範囲を超えて，金融庁監督下に無い非金融機関まで適用対象とすることには無理がある。

なお，「非金融機関の非金融業務」を担う情報システムは，安対基準の対象と考えられたことはない。
以上の考え方を図表にすると（図表９）のとおりとなる。
（図表９）安対基準における従来の適用対象の取扱い

金融業務
非金融業務

金融機関

非金融機関

区分Ａ

区分Ｃ

【適用】

【対象外】

区分Ｂ

区分Ｄ

【参考】

【対象外】

※グレーアウトは安対基準の規範性が生じていることを意味する。

２

安対基準の対象外となる FinTech 業務の取扱いの方向性
FinTech と総称される金融関連サービスは多岐にわたるとともに，今後も新しいテクノロジーあるいは新しいビジネスモデルの登場が予想される中では，そうした状況を踏まえて，FinTech 業務の安対基準における取扱いについて，本検討会において，あらか
じめ整理しておくことが期待されている。
一般的に，金融機関と非金融機関は，業法等の法規制に基づいて主体が特定され，比較的対象が明確であるのに対して，FinTechと総称される金融関連サービスにおいては，金融業務と非金融業務の境界が比較的曖昧となるという特徴があるとされている 39ことから，例えばその機能面に着目して，個別具体的に業務を特定することで，金融業務と39 例えば，増島雅和／堀天子編著『FinTech の法律』
（2016 年）において，「FinTech による業界構造や事業モデルの変化は，金融の業態間の壁を融解するだけでなく，金融と非金融の間の壁をも溶かすことにつながる。
」とされている。

25

非金融業務の区分の境界を明確にするというアプローチが考えられる。
しかしながら，このアプローチにおいても，多岐にわたるサービスが登場する中で，あらかじめ業務を個々に特定することは困難であり，また，仮に境界が明確にできたとしても，業務の機能面では大差が無いにも関わらず，安対基準上の取扱いが異なることとなり，その FinTech 業務の取扱いの適切性に疑義が生ずることが危惧される。
本来，利用者の立場に立てば，金融業務であるか否かは一義的な問題ではなく，また，金融機関と非金融機関のいずれが行う場合においても，FinTech 業務全体において，シー
ムレスに一体不可分な形で，適切な安全対策が実施されることが期待されている，と考えられる。
したがって，こうした社会的期待に応えるためには，まず，わが国の金融機関が，従来からその業務において培ってきた社会的な信頼と，類似の信頼を FinTech 業務においても得ることが有益である。特に，情報システムにおける社会的信頼が形成されるに当たっては，社会的に合意されたルールである安対基準が役割として担ってきた一面があることから，多様な FinTech 業務の実態を所与の前提としたうえで，金融機関と非金融機関に関わらず，それらの業務の担い手において，いかに安対基準の社会的規範性が生じることが可能か，という観点から，整理することが有益である。
（１）区分 B の取扱いの方向性
本区分においては，従来から安対基準は「参考」という形で言及されてきており，金融機関の実態においても，
セキュリティポリシーやセキュリティスタンダードにおいて，
安対基準等のFISCのガイドラインが取り入れられ，金融業務と非金融業務に対して，一体的に安全対策が実施されているケースが多い 40。
したがって，FinTech 業務のうち，非金融業務とみなされる業務があった場合においても，FinTech に関する安対基準が整備されれば，従来どおり，これらの基準を「参考」として，安全対策が実施されることとなり，特段新たに検討すべき問題はない。
（２）区分 C・D の取扱いの方向性
本区分においては，FinTech 業務のうち非金融機関が行う金融業務としては，例えば，FinTech 企業が主導する個人財務管理業務等の金融関連サービスや，米国で行われている P2P レンディング等がこれに含まれる。
本区分で安対基準における取扱いを検討するに当たっては，行政による制度変更を前提としないで考えるとすれば，非金融機関においても，安対基準の規範性が及んでいることが，利用者から安全対策上の信頼を得るためにも，期待される。
40 安対基準の「Ⅰ．安全対策基準の考え方」において，「全社で統一された情報の取扱いがなされるよう，セキュリティ
ポリシーの策定が必要となっている。」とされている。また，「各金融機関等は，コンピュータシステムの利用状況，直面するリスクの種類と大きさ，保護すべき情報の重要性や，自社の規模・特性に応じたセキュリティスタンダード（自社の安対基準）を，自社のセキュリティポリシー（基本方針）に準拠しつつ，本基準を参考の上で策定し，実施することが必要である。」とされている。

26

つづいて，こうした規範性を生ずるには，次のふたつの方法が考えられる。
①直接的に規範性が生ずる方法
非金融機関である FinTech 企業が個別に FISC の会員となり，安対基準の策定過程に明示的に参画するとともに，FinTech の観点からその基準策定に貢献するとともに，安対基準を遵守する。
②間接的に規範性が生ずる方法
FinTech 企業の業界団体が FISC 会員となり，業界団体が代表して，安対基準の策定過程に明示的に参画するとともに，FinTech 業界の観点からその基準策定に貢献する。また，安対基準と整合的な FinTech 業界の自主基準を策定し，業界団体の会
員がそれを遵守する。
まず①については，既に，FISC の会員となっている FinTech 企業があり，今後，安対基準の策定過程に参画することが期待できる。また，②については，既に，FISC 会
員となっている業界団体があり，本検討会にも委員として検討に参画いただいているところである。さらに，この業界団体においては，安全対策に関する自主基準の策定が予定されており，安対基準を参考としながら，業界団体の特性に応じた観点も反映させつ
つ，検討が進められている状況にある。
こうした取組みが進み，安対基準の規範性が，FISC の会員となった FinTech 企業や業界団体に及ぶことができれば，その結果として，金融機関と非金融機関に関わらず，
FinTech と総称される金融関連サービス全般において，シームレスに一体不可分な形で，適切な安全対策が実施されることが期待できる。
ただし，業界団体の自主基準が安対基準と整合的な内容となるか否かは，最終的にその業界団体の検討に委ねられることとなるとともに，必ずしも FISC の会員とならない
FinTech 企業や業界団体も存在しうることから，そうしたことを踏まえて，本検討会として，何らかの意見表明を行うことが妥当である。

27

３ FinTech 業務における安全対策に関する意見表明
以上のことを踏まえて，FinTech 業務全般における安全対策に関して，以下の意見表
明を行う。
【意見表明】FISC「金融機関におけるFinTechに関する有識者検討会」は，FinTech業務を実施す
るのが金融機関であるか否かに関わらず，FinTech業務を担う情報システムにおける安全対策の在り方について，高い関心を持っている。そうしたことから，FinTech業務に携わる事業者においては，本検討会が策定する以下の「金融関連サービスの提供に携わる事業者を対象とした原則 41」を踏まえたうえで，適切な安全対策が実施されることを期待する。

（１）金融関連サービスの提供に携わる事業者は，その利用者が安心してサービスを利用できることを目指し，みずからが管理責任を負う情報システムに対して，適切な安全対策を実施する。
（２）金融関連サービスの提供に携わる事業者は，安全対策の実施に当たっては，
イノベーションの成果が利用者の利便性向上に資するよう留意するとともに，金融機関とその他事業者がそれぞれ独自の優位性を活かせることを目指し，安全対策においても協調が促進されるよう留意する。
（３）金融関連サービスの提供に携わる事業者は，互いに協調して安全対策を実施するに際し，FISC 安対基準を含め，安全対策に関して社会的に合意されたルールが形成されるよう努める。
（１）
金融関連サービスの提供に携わる事業者として，金融機関や IT ベンダーにとどまらず，FinTech 企業等多岐にわたる事業者が想定される。そうした事業者は，企業価値の最大化のためにも，金融関連サービスにおいては，何より利用者が安心して利用できることが重要であり，そのためには，サービスの提供に必要となる情報システムに対して，
何ら安全対策を実施しない，ということは適切ではない。
（２）
FinTech にみられるとおり，金融関連サービスにおけるイノベーションにはめざまし
41

FISC『外部委託検討会報告書』において提言された「安全対策における基本原則」が，主に FISC 会員を対象とした基本原則であるのに対して，「金融関連サービスの提供に携わる事業者を対象とした原則」は，「安全対策における基本原則」をもとにしつつ，より幅広く金融関連サービスの提供に携わる事業者全般を対象とした原則である。

28

いものがあり，特に革新的なユーザー体験の提供などを通じて利用者の利便性向上に資することから，その利用が進んでいる状況にある。したがって，安全対策の実施に当たっては，イノベーションを阻害することがないよう留意されるべきである。
また，金融機関において，オープン・イノベーションが進められる中で，金融関連サービスの提供に，従来以上に複数の事業者が，多段階にわたり重層的に携わることも予想される。このように，事業者の関係が複雑になる中においても，複数の事業者が協調してサービスに携わることで，相互の優位性を取り込むことが可能となる。したがって，安全対策においても，互いに協調して取り組まれるべきである。
（３）
金融情報システムの安全対策については，金融機関等による自主基準である公益財団
法人金融情報システムセンター「金融機関等コンピュータシステムの安全対策基準・解説書」をはじめとして，社会的に合意されたルールが存在する。例えば安対基準においては，その策定過程に，金融業務や情報システムに係る業界の代表者等専門的・技術的知見を有する関係者が携わるとともに，金融情報システムの安全対策に責任を負い，安全対策の実施を現場で担う関係者が自主的に参画していることに特徴がある【資料編資料６参照】。
金融関連サービスに携わる事業者においては，社会的に合意されたルールが形成されるよう努めるとともに，こうしたルールと整合する安全対策が実施されることが望ましい。
４ 社会的に合意されたルールの形成に向けた FISC の役割
従来，金融情報システムの主たる関係者は，金融機関等と IT ベンダーからなり，ほぼ FISC の会員となっていることから，安対基準に，金融情報システムの担い手の意向
や特性を十分に反映することが可能である。その結果，金融情報システムにおいて必要となる安全対策については，安対基準でおおむね確認することができる。
しかしながら，今後，オープン・イノベーションの進展に伴い，従来以上に複数の事
業者が金融関連サービスの提供に携わることが予想される中で，必ずしも，FISC の会
員とならない事業者も想定され，その場合には，安対基準にすべての事業者の意向や特性を十分に反映することが容易ではなくなることが予想される。
また，各事業者が，みずからのために独自に自主基準を策定することが考えられるが，仮に安対基準と何ら関係なく自主基準が策定されれば，金融関連サービスであるにも関わらず，異なるルールが適用・運用されることとなる。
以上の，今後発生が予想される問題に対しては，FISCとしても社会的な役割を果たしていくことが必要である。例えば，金融関連サービスの提供に携わる事業者の業界団体において，独自の自主基準が検討されていれば，FISCは，その検討に参画し，社会的に29

合意されたルール形成に向けて必要となる支援を行い，基準相互の整合性が確保されるよう努めていく 42。
社会的に合意されたルールの形成に当たっては，FISC が策定を予定している「必要最低限の安対基準」に着目することが有益である。金融業務を担う情報システムにおいて最低限実施されるべき基準として策定される「必要最低限の安対基準」は，FISC 会
員に限らず，金融関連サービスの提供に携わる事業者においても，踏まえられるべき基準であると考えられる。
なお，FinTech 業務における安全対策に関しては，各業界団体をはじめとして，様々な集団において集合的な検討が進められており，その相互関係については，集団への参加者の性質や検討範囲に着目すれば，例えば，（図表１０）のように捉えることも考えられる。それぞれの集団においては，検討内容の整合性確保の観点から，相互関係を意識して，集合的な検討を踏まえた取組みが進められることが期待される。
（図表 10）FinTech に関する安全対策を検討している集団の相互関係例
特化

具体的

他の技術的

（サイバーセキュリティ）検討集団

FinTech 協会 API・セキュリティ分科会

他の事業者（FinTech 事業者団体）

団体

全銀協 銀行 API 検討会

他業界の（FinTech 事業者や銀行等銀行 API の

API 検討

関係者）

集団

技術

・・・

・・・

・・・

実装

合意事項の抽象度

参加者又は検討範囲

金融 ISAC FinTech セキュリティ WG

FISC FinTech 検討会

枠組（銀行・保険・証券・FinTech 企業等 FinTech に関する幅広い関係者）

原則

抽象的

汎用

42 既に行われている自主基準策定の取組みとして，銀行業界においては，全銀協が事務局として，「オープン API のあり方に関する検討会」が設置され，銀行業界の意向や特性を反映させた独自基準に関する検討が進められている。FISC
は，その検討会に参画するとともに，そこで言及されている「API 接続先チェックリスト」（仮称）の制定に関して，事務局として支援を行っている。また，FinTech 企業の業界団体である FinTech 協会においても，協会の自主基準策定作業が進められているが，FISC はその検討に参画し，安対基準の解説等の支援も行っている。

30

Ⅳ

クラウドサービス利用時のリスク管理策に関する補足～重要な情報システムでの利用を中心とした補足的検討～

１

補足的な検討の観点「金融機関におけるクラウド利用に関する有識者検討会」（以下「クラウド検討会」という）報告書，及びそれを踏まえて安対基準第８版追補改訂において策定されたクラウドに関する基準（以下「クラウド基準」という）に関して，以下の観点から，補足的な検討を行うことが有益である。
（１）クラウド基準策定後の状況の反映
クラウド基準策定後，金融機関におけるクラウドの利用が進む 43とともに，金融機関のFinTechへの取組みも急速に活発化する中で，FinTech業務ではクラウドサービスが利用される場合が多いことから，今後，クラウドサービスの利用がますます進展していくことが予想される。一方で，外部委託検討会が行われ，「重要な情報システム」の意
義が明確化される等，クラウド検討会で提言されたリスクベースアプローチの議論がさらに深められてきた。そうしたクラウド基準策定後の状況を踏まえて，クラウド基準が「重要な情報システム」に適用される場合（FinTechのユースケースとしてはブロックチェーン・AI等）を想定し，クラウド基準の実効性をさらに高める観点から，クラウド
基準をより明確化すべき点が無いか等，補足的な検討を行うことが有益である。また，補足すべきリスク管理策の観点を明らかにするためには，クラウドサービス固有の性質を特定することが有益である 44。
（２）海外先進諸国の動向
クラウド検討会の前後で，海外先進諸国において，クラウドサービス利用に係るガイ
ドラインの策定が進んでいることから，そうしたガイドライン等を参考とすることが有益である【資料編資料８】。
海外先進諸国におけるガイドラインでは，わが国のクラウド基準と共通する点が多い
が，例えば，特徴的なのは以下の点である。


金融機関は，外部委託された業務に関連するデータに，実効的なアクセスが43

クラウド検討会直前の平成 25 年度，クラウドを利用している金融機関等は 26.7%であったのに対して，平成 27 年度には，36.4%と増加している。
【資料編資料７参照】
44 クラウドサービス固有の性質を特定することは，今後，クラウド基準を外部委託全般に適用可能なものとクラウド固有のものとに整理する際にも有益である。詳細は，FISC『外部委託検討会報告書』脚注 31 を参照。

31

可 能 と な る よ う要 求 され て い る 。 こ こで い う「 デ ー タ 」 に は， 金 融機 関 のデータ，顧客のデータ，取引履歴データだけでなく，システムや手続きに関するデータも含まれる 45とされ，その範囲を狭めようとすることは適切でないとされている。また，そうした考え方に基づいて，アクセスの対象となる事
業拠点に関しては，本社や事務センターを含み幅広く解される一方で，必ずしもデータセンターへのアクセスが必要とならない場合もありえるとされている。さらに，管轄権については，データアクセスの実効性を高める観点から，クラウド事業者との契約は，国内法の管轄下にあることをデファクトとしている。これらは，クラウドサービスの利用において，一般的に金融機関の統制の程度が低くなることを踏まえて，統制上必要となるデータへのアクセスに焦点を当てて，明示的に要求されているものと解される。


要求事項を設定する目的を，「金融機関が，外部委託先を利用することに伴うオペレーショナルリスクを，適切に特定し，管理するよう促すこと」にあるとし，そのうえで，「金融機関にオペレーショナルリスクが増大することがないよう」求められている。要求事項の多くは，リスク管理，監督といった一般的な統制の方法に関する事項が中心となっており，設備等技術といった統制の内容に関する言及はほとんどない。これは，外部委託の有無に関わらず，統制水準は同一に維持すべき（安全対策の効果は同等であるべき）という基本的な考え方を明確に示す一方で，それらが十分に理解されていれば，金融機関の特性や規模等で様々にとりうる個々の技術的なリスク低減策は，一義的には金融機関に委ねられるべきである，としているものと解される。

以上のことを踏まえ，まず，クラウドサービス固有の性質を詳述し，「重要な情報システム」でクラウドサービスが利用される場合を中心に，補足的な検討を行う。
２

クラウドサービス固有の性質
クラウド検討会では，クラウドサービスは「外部委託の一形態として扱うことが適当」であるとされた。ここでいう外部委託とは，システム資源の調達先を表した言葉であり，その一形態であるクラウドサービスは，システム資源の調達の観点から，その性質を整理することが妥当である。
そもそも，システム資源の調達について，安対基準が策定された当初に遡れば，調達形態は現在ほど多様ではなく，例えば，建物・電源・空調・水冷等の設備一式，業務ア
プリケーションの開発や情報システムの運用要員等は，基本的には金融機関が自前で用意するのが一般的であり，外部から調達するのは，せいぜいホストコンピュータやテー
プ装置等のハードウェアや，オペレーティングシステムやデータベースシステム等の基45

例えば，要員の身元調査手続き，システム監査証跡等も含まれるとされている。

32

本ソフトウェア，そして一部の開発運用要員程度であった 46。
その後，コスト削減や先進技術の利用等を目的に，情報システムの運用に係る資源をまとめて外部から調達する，いわゆるアウトソーシングが徐々に進展した結果，今や勘定系基幹システムにおいて，金融機関の 90%以上が外部委託を利用している現状にある。
同時に，これによって，金融機関は，統制の重点を内部から外部にシフトさせる必要が生じるとともに，統制の重点がシフトする中においても，安全対策の効果は，自前で調達する場合と同等に維持すべく，付加的な安全対策を実施することが必要となった 47。
このようなシステム資源の調達方法とそれに伴う統制の重点の変化の途上で，クラウドサービスが登場した。クラウドサービスは，システム資源の調達において，従来の外部委託と比べて，利用者のニーズに応じた柔軟な調達が可能 48となることから，金融機関が多岐にわたるFinTechに取り組む中で，利用がいっそう進展していくものと予想される。
同時に，金融機関にとっては，統制の対象としてのクラウドサービスの位置づけが，従来にも増して高まることが予想され，近年のクラウドサービスの状況を踏まえ，その固有の性質を以下のとおり整理し，補足的検討が必要な観点を明らかにする。
（１）匿名の共同性
クラウドサービスは，複数の事業者が，単一のクラウド事業者に委託する形態として共同性という性質を有する一方で，利用者間で何らコミュニケーションが無いという匿
名の共同性を有する。
そのため，クラウドサービスにおける安全対策を決定する主な役割は，個々の利用者ではなくクラウド事業者に帰属することとなり，例えば，個々の利用者からの個別の監査要求や，個別の改善要望の実現に対して，消極的となる傾向があるとともに，監査において必要となるデータセンターへの立入については，セキュリティ上の問題を惹起するとして，受入れを拒否することとなる。したがって，クラウド事業者に対しては，金融機関による統制が十全に機能せず，リスク評価やリスク低減策を適切に実施できない，という可能性が内在している。
一般の情報システムにおいては，そうした可能性を考慮に入れたうえで，適切にクラウド事業者の選定が行われ，金融機関がリスクに応じて統制の程度を決定すれば十分で46

そのため，安全対策における統制に当たっては，金融機関の内部が主な対象となることから，安対基準の初版では基準全 113 項目のうち，外部委託に関する項目は２項目となっていた。
47 最新の安対基準第８版追補改訂においては，外部委託に関する基準は 11 項目に増加した（うちクラウドサービスの基準は５項目）。なお，統制の重点が内部から外部へシフトしていく実態を，安対基準の構成等に，適切に反映していく
ことが，今後の安対基準改訂において必要となると考えられる。
48 柔軟な調達の特徴として，費用の経済性・調達の即時性・調達手続きの容易性・システム管理の効率性が考えられる。
「費用の経済性」とは，情報処理の規模が大きいことから，規模の利益が働き相対的に低廉に利用できる余地があることをいう。「調達の即時性」とは，利用を決定してから実際のサービスインまでの時間が相対的に短いことをいう。「調達手続きの容易性」とは，例えば，システムの利用要件をインターネットから簡単に設定できること等をいう。
「シス
テム管理の効率性」とは，例えば，ハードウェア個々の管理が不要となること等をいう。また，安全対策面の特徴として，金融機関と比べて，セキュリティ投資額が大きい点（毎年数十億円を投下しているクラウド事業者もある），情報処理が広域に行われることでサービス継続性が高い点，が指摘されることがある。

33

あるが，重要な情報システムにおいては，インシデント発生時の社会的影響が甚大であり，特に有事において，金融機関には，従来の重要な情報システムの外部委託と同程度に，クラウド事業者に対する統制能力を十全に発揮することが必要となる 49。統制の検討に当たっては，同様に共同性という性質を有する「共同センター 50」において行われている統制の観点を踏まえてリスク管理策を検討することが考えられるが，一方で，特定の委託先が包括的に業務を受託する共同センターと異なり，クラウドサービスは，
クラウド事業者が，情報システムのハードウェアや基本ソフトウェア等部分的に業務を受託する形態があることに留意が必要である。
以上から，重要な情報システムに関する補足的検討に当たっては，共同性という性質に関しては，共同センターに適用されるリスク管理策 51を参考としつつ，クラウド事業者との責任分界等を理解したうえで統制の範囲や内容を決定することとなる 52。また，
匿名性という性質に伴う，統制の低下を補完するためのリスク管理策について明確化を行うことが適当である 53。
（２）情報処理の広域性
クラウドサービスでは，利用者が広域に及ぶことから，情報処理拠点を含む事業拠点
も，複数の国にまたがり広域に及ぶ場合がある。そのため，利用者は，事業拠点の大半が国内を中心とする従来の外部委託とは異なり，例えば，インシデント発生時に復旧や原因究明のために必要となるデータは，どこの事業拠点へ行けばアクセス可能か，その所在地をあらかじめ知っておきたい，という要望を持つことになる。また，復旧や原因究明とその後の再発防止策が実効的に行われることを担保するために，データにアクセス可能な事業拠点に対する監査権を契約書に明記したい，あるいは事業拠点に対して自国の法令が及ぶようにしたい，という要望を持つこととなる。
一般の情報システムにおいては，インシデント発生時は金融機関が個別に対処すればよく，統制の程度はリスクに応じて金融機関が決定すれば十分であるが，重要な情報シ
ステムにおいては，インシデント発生時の社会的影響が甚大であるため，金融機関は，

49

クラウド基準では，平時における統制能力の発揮を想定し，運用時のモニタリングにおいては，実効的かつ効率的な統制手法として，第三者監査の利用を選択肢として提言されるとともに，平成 28 年５月 FISC『システム監査指針（改訂第３版追補）（以下「監査指針」という）では，「クラウドサービス監査のポイント」として，第三者監査人を利用した共同監査方式について，そのプロセスや考慮点まで踏み込んだ具体的な提言がされている。
50 共同センターは複数の金融機関が共同で重要な情報システムの運用等を委託する形態であり，安全対策の効果が複数の利用者に及ぶ共同性という性質を有する点でクラウドサービスと同じ性質を有する。
51 FISC『外部委託検討会報告書』では，「共同センターにおけるリスク管理の在り方」として，特に，有事対応における時間性の問題を取り上げている。クラウドサービスでは，利用者間でコミュニケーションが無いことから，ある意味
利用者の意思統一という問題は生じないものの，クラウド事業者は利用者全体への影響を考慮するため，対応に時間を要する可能性がある。したがって，有事対応における時間性の問題は，クラウドサービスの利用においても問題となることから，FISC『外部委託検討会報告書』で提言された「共同センター固有の IT ガバナンス（リスク管理策の在り方）」は参考となる。
52 安対基準（運 109）においては，クラウド事業者との契約締結時に考慮すべき基本的な事項の１つとして「クラウド事業者（複数のクラウド事業者がサービスの委託を受けた場合を含む）との間の管理境界や責任分界点に関する取決め」があげられている。
53 統制能力の向上策の１つとして監査があるが，クラウド基準では監査に関して，「システム監査やモニタリングを実施することが必要である」とされており，また，監査権については，「立入監査等を実施する権利を明記すること」が「望ましい」とされている。

34

データにアクセス可能な事業拠点という観点でもリスク管理策の検討が必要となる。
以上から，重要な情報システムに関する補足的検討に当たっては，インシデント発生時の復旧や原因究明等統制上必要となるデータへのアクセス可能な事業拠点に関して，
リスク管理策の明確化を行うことが適当である 54。
（３）技術の先進性
クラウドサービスでは，複数の利用者で効率的な資源の利用を可能とする仮想化技術
や，利用者以外によるデータ閲覧・処理等を不可能とするデータの秘匿性を高める技術
等，特にソフトウェアにおいて技術の進展が著しい。そのため，設備やハードウェアといった物理的な安全対策による効果が，ソフトウェア技術によっても同等程度に達成可能となる場合がある 55とともに，ソフトウェア技術自体も，旧来の技術を塗り替える，
より実効的な技術が次々と登場する場合がある。したがって，設備基準や技術基準といった技術的な安全対策を，あらかじめ一意に特定しておくことが，必ずしも適切ではないことが生じうる。
そうした中，従来の安対基準では，運用基準・設備基準・技術基準相互の取扱いの考え方が，必ずしも明確に示されていないため，例えば，クラウド事業者選定時の客観的評価において，評価事項に，技術変化の影響を受けやすい設備基準や技術基準が，技術変化の状況を踏まえることなく，そのまま字義通りに利用される，といった不確実性が残る現状にある 56。その結果，全体の安全対策の効果からみれば，金融機関として個別に統制を行うまでもない部分にまで形式的に統制が行われ，過度な安全対策を招来することが危惧される。
また，採用技術が先進的であるがゆえに，監査人はあらかじめクラウドサービスの採用技術等の詳細について十分に知悉しておく必要が生じるものの，金融機関が内部に保有する IT 要員やシステム監査要員が限られている場合，必ずしも実効的な監査が行えないことが危惧される。
一般の情報システムにおいては，安対基準の取扱いが明確化されれば，そのうえでリ
スクに応じて金融機関が決定すれば十分であるが，重要な情報システムにおいては，金融機関は，監査を行うことを前提としつつ，実効性を確保するという観点でも，検討が必要となる。
54

クラウド基準では，所在地を確認すべき「データ」には，金融機関のデータが想定されている。そのうえで，業務の継続性の観点から所在地把握が必要とされている。また，管轄権については，「紛争が生じた際にどの国の法律が適用されるのか（中略）十分に配慮する必要がある。」とされている。
55 例えば，同等性の原則の立場に立てば，データの暗号化や複数データセンターへのデータの分散配置によって安全対策の効果が高まれば，個々のデータセンターの物理的な安全対策を従来ほど強く求めなくてもよくなる場合もありえる。
56 例えば，設備基準では設備 47「ネズミの害を防止する措置を講じること」がある。これはリスクとしては存在するものであるが，クラウド事業者が利用しているデータセンターの中には，このリスクは，金融機関によって明示的に確認が必要なほどは高くないケースがあることから，クラウド事業者の実態を踏まえて，この基準の利用の要否が判断されるべきである。また，技術基準では技術 28,29「データの漏洩防止策を講ずること」がある。この基準では，「暗号化を実施することが望ましい」とされ，技術的な対策が例示されているが，こうした技術は日々急速に進歩しており，技術基準の例示に形式的にとらわれてしまうと，クラウド事業者がより優れた技術を採用しているにも関わらず，評価を得られないことが危惧される。

35

以上から，補足的検討に当たっては，設備基準や技術基準といった技術的な安対基準の取扱いについて明確化したうえで，重要な情報システムにおいては，監査等の人材面に関するリスク管理策の明確化を行うことが適切である 57。
３ 重要な情報システムの外部委託先に対する統制の考え方
クラウドサービス固有の性質を踏まえて，補足的なリスク管理策を検討するに当たっては，重要な情報システムにおける外部委託先に対する統制の考え方を明らかにすることが有益である。
まず，「重要な情報システム」とは「重大な外部性を有する情報システム」もしくは「機微情報（要配慮個人情報を含む 58）を保有する情報システム」のことをいうが，前者において大規模なシステム障害が発生した場合，その影響は顧客等の内部影響にとどまらず，金融インフラや経済の安定的な運営にも影響を及ぼす可能性があり，後者において機微な個人情報が流出した場合，信用不安を惹起し，金融機関の存立を揺るがす事態に発展する可能性がある。このように社会的・公共的性質を有する情報システムにおける有事対応の責任は，金融業務の特性から派生していることから金融機関が一義的に負うべきであり，外部委託を利用している場合であっても，技術的な側面を担う外部委託
先が負えるものではない。したがって，金融機関には，有事において，その影響を最小化するとともに，情報システムを速やかに復旧させ業務の継続性を確保する責任があり，外部委託先に対して，内部の場合と同程度の統制が行えるように，あらかじめ十分な手当てをしておくことが求められる。
こうした有事における実質的な統制を可能とするには，平時から異常を見逃さない等
システム運営状況を日常的に監視しておく必要があるとともに，定期的に外部委託先における内部統制状況をチェックし，有事の発生やその対応に影響を及ぼす可能性のある問題があれば，あらかじめ外部委託先に対処を促し，問題を解決しておくことが必要となる。
以上のことは，外部委託の一形態であるクラウドサービスにおいても同様であり，金融機関は，重要な情報システムでクラウドサービスを利用する場合は，クラウド事業者の責任分界を踏まえ，業務継続におけるクラウドサービスの位置づけ等に留意しつつ，実質的な統制を行うことが必要である 59。
57

クラウド基準では，監査の実効性を高めるために，「委託元金融機関の立入監査等が実効的でない場合などには，第三者監査により代替することも可能である」「既にクラウド事業者が受検している監査結果の内容を検証し，疑問点や不足する監査項目を中心にクラウド事業者に対する実地検証を行うことが有効である」とされている。
58 ここでいう機微情報は，金融庁『金融分野における個人情報保護に関するガイドライン』に定める機微情報のことをいい，その内容には，改正個人情報保護法の要配慮個人情報が含まれる。
（同ガイドライン（平成 29 年５月 30 日施行）第５条１項においては「法第２条第３項に定める要配慮個人情報並びに労働組合への加盟，門地，本籍地，保健医療及
び性生活に関する情報」が機微情報とされている。また，改正個人情報保護法第２条第３項においては「要配慮個人情報とは，本人の人種，信条，社会的身分，病歴，犯罪の経歴，犯罪により害を被った事実その他本人に対する不当な差別，偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして，政令で定める記述等が含まれる
個人情報をいう。」とされている。
）
59 金融機関においては，有事における影響の最小化と業務の継続性の確保が第一に求められることとなるが，これは，すべての金融機関において，クラウド事業者に一意なリスク管理策を求めることを必ずしも意味しない。例えば，有事には，クラウドサービスの復旧を待つことなく，有事用にスタンバイしているシステムを稼働させるような業務継

36

４

リスク管理策に関する補足
以上を踏まえて，クラウドサービス利用時に実質的な統制を行うためのリスク管理策について，以下の補足を提案する。

（１）統制対象クラウド拠点の把握「重要な情報システム」でクラウドサービスを利用する場合は，金融機関は，クラウド事業者の選定時において，統制上必要となるデータ（以下「必要データ」という）へのアクセスが可能となる情報処理拠点等，実質的な統制を行うに当たり対象となる事業
拠点 60（以下「統制対象クラウド拠点」という）について把握しておくこと。
また，統制対象クラウド拠点は，実質的な統制が可能となる地域（国，州等）に所在すること。
（２）監査権等の明記「重要な情報システム」でクラウドサービスを利用する場合は，金融機関は，統制対
象クラウド拠点に対して，実質的な統制を行うに当たって必要となる権利（監査権等）を確保するために，クラウド事業者と交わす契約書等にその権利を明記すること。
（３）監査の実施
金融機関は，クラウド事業者に対する監査に当たって，技術が先進的であることから，
クラウド事業者がみずから監査人に委託して行った保証型監査の報告書を利用することが望ましい。また，その場合，統制が十全かつ実効的に機能するよう，安対基準と整合的な内容で検証が行われている報告書を利用することが望ましい 61。
「重要な情報システム」でクラウドサービスを利用する場合は，金融機関は，実質的な統制が十全かつ実効的に機能するよう，定期的に監査を実施すること。
（４）監査人等モニタリング人材の配置「重要な情報システム」でクラウドサービスを利用する場合は，金融機関の経営層は，続計画であれば，クラウドサービスの復旧を前提とした業務継続計画の場合とは，おのずとクラウド事業者に対するリスク管理策は異なるはずである。また，FISC『外部委託検討会報告書』で示されているとおり，委託業務が細分化された結果，クラウド事業者の受託業務のリスクが十分に低いと判断しうる場合には，リスク管理策は異なることとなる。したがって，金融機関は，重要な情報システムにおいて，クラウドサービスがどのように位置づけられるか，どのような利用形態をとっているか，によってクラウド事業者に対する具体的なリスク管理策を判断することとなる。
60 統制対象クラウド拠点は，クラウド事業者の本社，営業所，データセンター，オペレーションセンター等様々な拠点が候補となるが，実際には，金融機関によって，利用するクラウドサービスの内容やクラウド事業者の内部管理状況等を踏まえて，金融機関が個別に特定することとなる。したがって，統制対象クラウド拠点には，データセンターを含むことは必ずしも必要ではない。
61 その他に，実効的かつ効率的な監査を実施する手段として，インターネット等を通じて利用者に提供される監査証跡の閲覧等クラウド事業者がサービスとして提供する監査機能を利用することも考えられる。

37

クラウドサービスの採用技術が先進的であることを認識したうえで，クラウド事業者に対する監査等モニタリングを実効的に実施するために必要となる能力を有した人材を配置すること。また，こうした人材を金融機関内部で育成することが容易でない場合は，専門性を有する第三者監査人等を利用することが望ましい。
（５）客観的評価を実施する際の留意事項
クラウド基準では，金融機関は，クラウド事業者の選定時において，「クラウド事業者の資質・業務遂行能力に関する情報や，クラウド事業者の内部統制やリスク管理に関する状況等をもとに評価を行うことが必要である。」とされているが，これは，客観的評価を実施する際の評価事項に，安対基準の設備基準や技術基準を含めることを必ずしも意味しないことに留意が必要である。

38

Ⅴ

集 合 的な 検討 を 踏 まえ た「 オ ー プン API」 に
お け る 安全 対策 の 在 り方

１「オープン API」における統制上の課題「オープンAPI」はタイプⅢの実現手法の１つであることから，APIを公開する金融機関は，外部委託基準を準用し，API接続先であるFinTech企業に対して，客観的評価やモニタリングといった方法で統制を実施することとなる 62。（外部委託基準の準用ルール）
したがって，今後，行政や業界団体等によって「オープン API」の環境が整備されれば，金融機関と FinTech 企業の API 接続が増大し，結果として，FinTech 企業は，多数の金融機関から統制を受けることとなる。
その際，形式的に，多数の金融機関が個別に統制を行うこととなれば，FinTech 企業においては，その対応が過度の負担となり，イノベーションを大きく損なうことが危惧される。
そもそも，金融機関が行う統制は，安対基準等を踏まえて行われることから，統制の方法や内容は，金融機関で共通する部分が多いと考えられる。仮に，統制の共通部分について，FinTech 企業の負担軽減を目指して，API 接続に携わる関係者が集合的に検討し，取り組むことができれば，金融機関はイノベーションの成果を享受することが可能となる。
２ 「オープン API」における安全対策の在り方
統制は，データの保全・本人確認・サービスの可用性・障害管理等の「統制の内容」と，客観的評価・契約締結・モニタリングといった「統制の方法」に分けられ，それぞれにおいて，各金融機関で共通する部分が多い。
まず，統制の内容に関しては，金融機関では，安対基準や業界団体の自主基準等の社会的に合意されたルールを踏まえたうえで，独自項目を追加して，定められるのが一般的である。したがって，まず，入口の利用検討時に行われる統制の内容，すなわち，客観的評価で使用されるチェックリストの項目に関して，「オープンAPI」に関する社会的に合意されたルールを踏まえて，金融機関とFinTech企業で，集合的に検討し，合意形成することが考えられる 63。チェックリストの共通部分を合意しておけば，その後の契約締結時や運用時に行われる統制の内容として，契約書や監視・監査項目等に反映する

62

銀行 API 報告書において，銀行は「他の事業者等との API 接続に先立ち，セキュリティ等の観点から，API 接続先の適格性を審査することが必要である」とともに「API 接続先の情報セキュリティに関連した適格性について，API 接続
後も定期的に又は必要に応じて確認することが必要である」とされている。
63 銀行 API 報告書において「複数の銀行と API 接続する企業等における審査対応負担を軽減する観点からは，銀行がAPI 接続先の適格性を審査する際に使用する「API 接続先チェックリスト」（仮称）の制定が期待される。
」と整理されたことを受けて，FISC が事務局となり「API 接続先チェックリスト（仮称）ワーキンググループ」を設置し，統制の内容の共通部分に関する検討等を行っている。詳細は【資料編資料９】を参照。

39

ことが可能となる。これにより，金融機関とFinTech企業が，安全対策に関して個別に合意形成する負担が軽減される。
次に，統制の方法に関しては，金融機関では，モニタリング等の統制方法を共同で実施することは，従来から一般的であり，複数金融機関が，意思統一を図りつつ，選定された幹事金融機関等（金融機関等の委託を受けた第三者監査人を含む）が代表して統制を行い，その結果を共有することで，統制を効率化してきた実績がある。したがって，「オープンAPI」においても，共通のAPI接続先に対して，金融機関が共同で統制を行うことは可能であり，例えば，幹事金融機関等が行った客観的評価結果，締結した契約
書，監査結果 64を他の金融機関が利用することとすれば，FinTech企業は金融機関ごとに対応を行う負担が軽減される。
以上のように，金融機関が，あらかじめ関係者で合意された内容に従って，集団で統制を行うこととなった場合，FinTech 企業においても集団で統制への対応ができれば，さらに負担を軽減できる可能性がある。
行政や業界団体等による環境整備が進む中で，FinTech企業の集団組成に向けた取組
みとして，「オープンAPI」に参画する事業者団体設立の動きがみられる 65。仮に，そうした事業者団体が設立されることとなれば，あらかじめ関係者で合意された統制の内容を踏まえて安全対策に関する自主基準を策定するとともに，個々の会員における自主基
準の遵守状況について，例えば，内部監査人等（事業者団体の委託を受けた第三者監査人を含む）が検証した結果を踏まえて，必要に応じて会員に対して指導や勧告を行うことが可能となる 66。
以上のとおり，FinTech企業における集合的な検討を踏まえた取組みの進展が予想されることとなれば，金融機関集団がFinTech企業集団と安全対策に関する協議を開始し，総体的な安全性を確保しつつ関係者の負担を最小化することを目指して，両者で協調した取組みが進められていくことが期待される 67。

64 銀行 API 報告書において「事前審査は，各銀行がそれぞれ独立に行うことを前提としつつも，複数の銀行と API 接続
する企業等における審査対応負担の軽減や銀行による事前審査水準の標準化の観点から，当該銀行の責任においてほかの銀行に委ねたり，他の銀行が既に行った事前審査の結果を参考にすることも考えられる」「モニタリングは，各銀行がそれぞれ独立に行うことを前提としつつも，複数の銀行と API 接続する企業等におけるモニタリング対応負担の軽減や，銀行によるモニタリング水準の標準化の観点から，当該銀行の責任においてほかの銀行にモニタリングを委
ねたり，他の銀行が既に行ったモニタリングの結果を参考にすることも考えられる」とされている。なお，共同監査方式については，監査指針「共同利用型システム監査のポイント」「クラウドサービス監査のポイント」が参考となる。
65 一般社団法人 FinTech 協会は，平成 29 年３月３日『認定電子決済等代行事業者協会に向けて』という文書を公表し「改正銀行法案において定めのある認定電子決済等代行事業者協会について（中略）複数の企業で設立に向けた準備を行」
い，「新しく設立される協会では，必要な規則の制定及び利用者からの苦情対応業務を含む認定事業者協会の業務として
改正銀行法に定められた業務を提供するほか，より良い金融機関 API のあり方を検討していく予定」としている。
66『銀行法等の一部を改正する法律』（平成 29 年５月 26 日成立）においては，例えば第五十二条の六十一の二十において，認定電子決済等代行事業者協会の業務として「会員の営む電子決済等代行業の適性化並びにその取り扱う情報の適正な取扱い及び安全管理のために必要な規則の制定」と「規則を遵守させるための会員に対する指導，勧告その他の業務」が挙げられている。
67 例えば，FinTech 企業集団の事業者団体が会員への指導・勧告に当たり，会員の自主基準遵守状況の検証作業を行うこととなれば，その作業は，金融機関集団が客観的評価やモニタリング時に FinTech 企業に対して行う検証作業と，主体が異なるとはいえ，実質的には重複する部分が多いと考えられることから，関係者の負担の最小化の観点からは，共同実施スキームを検討することも考えられる。

40

Ⅵ

今後の安対基準等改訂の考え方

本検討会の後に，FISC では，外部委託検討会及び FinTech 検討会の提言を受けて，安対基準等ガイドラインの改訂が進められることとなる。その際には，以下をはじめとして，両検討会報告書の内容を踏まえた改訂が行われ，金融情報システムの安全対策に携わる多岐にわたる関係者において，安全対策の考え方を中心に理解が得られるものとなることが期待される。
１

安全対策の基本原則の導入
リスクベースアプローチを踏まえた基本原則を，安全対策の考え方として導入する。

２

安対基準の明確化（１）安対基準の対象の明確化
安対基準が適用対象とする「金融情報システム」の定義を「金融機関が行う金融業務を担う情報システム」として明確化するとともに，それ以外の情報システムと安対基準との関係についても明確化する。
（２）「高い安対基準」
・「必要最低限の安対基準」の定義と位置づけの明確化「高い安対基準」を定義し，その対象が「重大な外部性を有する情報システム」「機微
情報を保有する情報システム」であることを明確化する。また，「必要最低限の安対基準」を定義し，安全対策の不確実性を低減するという目的の範囲内で定められるべきであることを明確化する。
（３）技術的な基準の位置づけの明確化
技術の進展が著しい環境下では，技術的な基準とそれ以外の基準では，取扱いが異なるべきであることを明確化する。前者は，すべての情報システムに対して字義通りに適用を求められるべきではなく，「高い安対基準」や「必要最低限の安対基準」を参考としつつ，最新の技術動向等を踏まえ，金融機関において適用の可否が判断されるべきものであることを明確化する。
３

外部に対する統制基準の拡充（１）統制の重点のシフトの反映
勘定系基幹システムをはじめとして，金融機関の外部委託への依存度が高まっている。
こうした，統制の重点が内部から外部へシフトしていく実態を踏まえ，安対基準上で外部に対する統制基準を明確化する。
（２）多様な形態を踏まえた統制基準の整理
共同センター・クラウドサービス・FinTech 等の多様な形態を踏まえ，それぞれの性質に応じた統制の在り方に従って，基準等を整理する。

41

おわりに
本検討会では，「FinTech」をテーマに取り上げるにあたり，まず，その姿を明らかにすることから検討を行った。その結果，金融機関による統制の観点から，FinTech を
タイプ別に類型化するという，世界でも類を見ない提言となり，これにより，問題を論
理的かつ的確に特定し，それに対する対策も効果的かつ具体的なものを導出することが可能となっている。
また，FinTech は多岐にわたるテーマであったにも関わらず，金融機関，業界団体及び監督当局等の動きと歩調をあわせて，わずか９か月，計６回の会議という短期間で，迅速に報告書がとりまとめられた。それが可能となったのは，わが国において，当セン
ターが 30 年以上にわたって安対基準を維持する過程で，金融情報システムの関係者が，協調して集合的な検討を行う土壌が十分に涵養されてきたことによるところが大きい。
すなわち，FinTech を検討するにあたり，わが国では，新たに関係者が集合し，新たな基準を議論する必要はなく，既にある集合的な検討体において，既にある安対基準を
FinTech へ適用した場合に生ずる付加的な問題を検討すれば足りる。当センターによって涵養されてきたこうした土壌は，FinTech に留まらず，今後様々に登場するであろう
金融情報システムに係る諸問題を，わが国が世界に先駆けて，あるいは遅れることなく，効率的かつ弾力的に処理しうる源泉となるものである。
一方で，本検討会では，外部委託検討会の提言内容を踏まえ，その延長線上で，さらに踏み込んだ検討がなされている。例えば，外部委託検討会では，安対基準の考え方に「システムの安全性の確保」に加えて「企業価値の最大化」を取り入れることが提言されたが，本検討会では，FinTech への取組みを通じたイノベーションの成果の享受に焦点を当て，企業価値の最大化の具体的な方法が，原則やルールとして提言されている。
また，外部委託検討会では「リスクベースアプローチに従った安対基準の適用方法」が提言されたが，本検討会では，さらにそれを深めて，そもそも安対基準の適用対象はどうあるべきか，そして，安対基準の適用対象外に対して FISC はどのように取り組むべ
きか，という根本的な問題についても検討がなされ，それを踏まえた意見表明が行われている。さらに，外部委託検討会で「重要な情報システム」の意義が明確にされたことを受けて，本検討会では，クラウドサービスが「重要な情報システム」で利用された場合について検討が行われ，以前のクラウドに関する検討会では必ずしも十分に光を当てられなかった部分にも光が当てられ，その提言内容が補完されている。その検討過程では，システム資源調達の歴史を振り返り，その延長線上において，金融機関におけるクラウドサービスの歴史的意義が明らかにされるとともに，従来の情報システムと異なる
クラウドサービス固有の性質が明確にされるという，世界でも類を見ない先進的な提言がなされている。
このように，外部委託と FinTech の両検討会を通じて，一貫した深度ある議論がな
42

された結果，個別のリスク管理策から，安対基準の考え方という原理原則，さらには，
当センターの在り方まで含む，広範かつ相互に整合的一体的な提言を得ることができた。
こうして，最終的に報告書がとりまとめられたのも，両検討会を通じてご協力いただいた，岩原座長，渕崎座長代理はじめ，学識経験者・金融機関・FinTech 企業・IT ベンダ
ー・クラウド事業者等の委員，官庁・中央銀行のオブザーバーの方々によって，熱心かつ精力的な議論が行われた賜物である。
今後は，両検討会の提言内容を踏まえ，当センターが主催する常設の安全対策専門委
員会において，安対基準の改訂が進められることとなるが，そこでは，有識者検討会の原理原則に立ち返った提言内容を，原理原則は曲げない一方で，金融情報システムの現場に携わる方々が，理解しやすく，利用しやすいものにする観点から，議論が行われる予定である。また，両検討会の根本的かつ広範な提言内容が反映されることから，安対基準の初版が策定された昭和 60 年以来 30 年ぶりの抜本的かつ大規模な改訂となる予定である。
今回の改訂によって，両有識者検討会で提言された，来たるべき時代の中核となる新たな安全対策の考え方が，適切に安対基準に反映され，その結果として，金融機関において，将来にわたって，環境変化に適切に対応しつつ，システムの安全性の確保と，企業価値の最大化が目指されることを期待する。

43

「金融機関における FinTech に関する有識者検討会」委員・オブザーバー名簿
（敬称略）

座長

岩原 紳作

早稲田大学 大学院法務研究科 教授

座長代理

渕崎 正弘

株式会社日本総合研究所 代表取締役社長

委員

安冨 潔

慶應義塾大学名誉教授
京都産業大学法務研究科客員教授・
法教育総合センター長
弁護士（渥美坂井法律事務所・外国法共同事業）

國領 二郎

慶應義塾常任理事，慶應義塾大学総合政策学部教授

上山 浩

日比谷パーク法律事務所 パートナー弁護士

田中 秀明

株式会社みずほフィナンシャルグループ
IT・システム企画部 システムリスク管理室 室長（第４回まで）持田 恒太郎

株式会社三井住友銀行
システム統括部 システムリスク統括室 室長（第５回から）山田 満

株式会社南都銀行
システム部 部長

吉本 憲文

住信 SBI ネット銀行株式会社
FinTech 事業企画部長

真田 博規

住友生命保険相互会社
情報システム部 担当部長

久井 敏次

東京海上日動火災保険株式会社
理事 IT 企画部長（第４回まで）

黒山 康治

東京海上日動火災保険株式会社
IT 企画部 参与（第５回から）

植村 元洋

野村ホールディングス株式会社 IT 統括部
次長 兼 IT 管理課長(エグゼクティブディレクター)

Mark Makdad

一般社団法人 FinTech 協会
理事

瀧 俊雄

株式会社マネーフォワード
取締役 Fintech 研究所長

轟木 博信

株式会社 Liquid
経営管理部長 弁護士
44

村上 隆

株式会社ＮＴＴデータ
第四金融事業本部 企画部

ビジネス企画担当

シニア・スペシャリスト
長 稔也

株式会社日立製作所
金融システム営業統括本部 事業企画本部
金融イノベーション推進センタ センタ長

岩田 太地

日本電気株式会社
事業イノベーション戦略本部
FinTech 事業開発室 室長

梅谷 晃宏

アマゾンウェブサービスジャパン株式会社
セキュリティ・アシュアランス本部 本部長
日本・アジア太平洋地域担当

内田 克平

日本マイクロソフト株式会社
クラウド＆ソリューションビジネス統括本部
金融インダストリー担当部長（第２回まで）

平原 邦久

日本マイクロソフト株式会社
金融サービス営業本部
シニアインダストリーマネージャー（第３回から）

荻生 泰之

デロイトトーマツコンサルティング合同会社
執行役員

オ ブ ザ ー 神田 潤一

金融庁

バー

総務企画局 企画課 信用制度参事官室 企画官
片寄 早百合金融庁
検査局 総務課 システムモニタリング長
主任統括検査官

中井 大輔

日本銀行
金融機構局 考査企画課
システム・業務継続グループ企画役

師田 晃彦

経済産業省
商務情報政策局 サイバーセキュリティ課長

大森 一顕

総務省
情報通信国際戦略局参事官（サイバーセキュリティ戦略担当）

45

（金融情報システムセンター事務局)
理事長

渡辺 達郎

常務理事

髙橋 経一

企画部

部長

小林 寿太郎

企画部

次長

藤永 章

企画部

主任研究員

大澤 英季（第２回から）

調査部

部長

中山 靖司

監査安全部

部長

西村 敏信（第４回まで）

監査安全部

部長

和田 昌昭（第５回から）

総務部

部長

水野 幸一郎

総務部

特別主任研究員 郡山 信◆事務局スタッフ
柴田 晃宏，仲程 文徳（第４回まで），岡本 一真（第１回まで），三浦 哲史，田 昊（参考）検討会の開催日程
第１回（平成 28 年 10 月５日）
，第２回（同 12 月１日）
，第３回（平成 29 年２月２日），
第４回（同３月 23 日），第５回（同５月 15 日），第６回（同６月 13 日）

46

Ⅶ

資料編

47

【資料１】金融機関等における FinTech をめぐる動向
１ 国内金融機関の動向
平 成 27 年 か ら ， 都 市 銀 行 ・ 地 方 銀 行 を 中 心 と し て ， 国 内 金 融 機 関 の 「 FinTech」 をキーワードとしたプレスリリースが急増している。主な内容は以下のとおり。
【平成 27 年 1 月－】都市銀行が FinTech コンテストを開催【平成 27 年 7 月－】地方銀行のプレスリリースが増加（FinTech 推進部署を設置 等）【平成 28 年 1 月－】都市銀行・地方銀行が新しい技術の実証実験開始
地方銀行が FinTech 企業と業務提携【平成 28 年 7 月－】都市銀行がブロックチェーンにより国内送金の実証実験を開始

国内金融機関の FinTech に関連するプレスリリースの件数
（件数）
40
35

都市銀行
地方銀行

30
25

第二地方銀行
その他銀行（ネット銀行）

20
15
10
5
0
平成27年
1-3月

平成27年
4-6月

平成27年
7-9月

平成27年
10-12月平成28年
1-3月(出所)各金融機関のプレスリリースをもとにFISCにて作成

48

平成28年
4-6月

平成28年
7-9月

２ 官公庁等の FinTech の定義例
「日本再興戦略 2016」（平成 28 年６月２日閣議決定）
近年、FinTech と呼ばれる金融・IT 融合の動きが進展しており、金融業・市場に変革をもたらしつつある。
金融審議会「決済業務等の高度化に関するワーキング・グループ報告」（平成 27 年 12 月 22 日）
FinTech とは、金融（Finance）と技術（Technology）を掛け合わせた造語であり、主に、IT を活用した革新的な金融サービス事業を指す。特に、近年は、海外を中心に、IT ベンチャー
企業が、IT 技術を生かして、伝統的な銀行等が提供していない金融サービスを提供する動きが活発化している。
経済産業省「産業・金融・IT 融合に関する研究会（FinTech 研究会）について」第一回配布資料（平成 27 年 10 月６日）
近年、フィンテック（FinTech）と呼ばれる IT を活用して革新的な金融サービスを提供する
ベンチャー企業が現れ、流通など伝統的な金融業以外の企業が新たな金融サービスを提供する動きが、世界中で見られる。
日本銀行「決済システムレポート」（平成 28 年３月）
FinTech とは、金融（Finance）と技術（Technology）を組み合わせた言葉であり、近年、急速に注目を集めている。
この FinTech の定義は必ずしも明確に定められている訳ではなく、話者によって、その意味が異なることも多いが、一般には、情報通信技術など新しい技術を取り込んだ、新たな形態の金融サービスや、あるいは、そうした金融サービスを積極的に提供していこうとする動きを指すことが多い。

49

３ 日本の監督当局等の動向（１）銀行法等の改正
平 成 28 年 ５ 月 に 銀 行 法 等 が 改 正 さ れ ，「 銀 行 業 の 高 度 化 若 し く は 利 用 者 の 利 便 の 向 上 に資する業務又はこれに資すると見込まれる業務を営む会社」に対して，金融機関（あるいは金融グループ）が，当局の個別認可を得て出資し子会社とすることが可能となった。これ に よ り ， 金 融 機 関 （ あ る い は 金 融 グ ル ー プ ） が FinTech に 取 り 組 む に 当 た り ， FinTech
企業を子会社とする事例が，今後出現してくることが予想される。
（２）金融制度ワーキング・グループ報告と銀行法等の改正
平 成 28年 ７ 月 28日 か ら ， 金 融 審 議 会 「 金 融 制 度 ワ ー キ ン グ ・ グ ル ー プ 」 が 開 催 さ れ ， 中
間 的 業 者 に 対 す る 規 制 の 在 り 方 を 論 点 と し て 取 り 上 げ ， 審 議 を 経 て ， 平 成 28年 12月 27日 報
告書が公表された。この中で，オープン・イノベーションに向けて，電子決済等代行業者に 対 す る 制 度 的 枠 組 み 等 が 提 言 さ れ た 。 本 報 告 書 等 を 踏 ま え て ， 平 成 29年 ３ 月 ６ 日 「 銀 行
法 等 の 一 部 を 改 正 す る 法 律 案 」 が 公 表 さ れ ， 同 年 ５ 月 26日 に 成 立 し た 。
（３）全銀協の取組み
全 銀 協 で は ， 平 成 28年 ８ 月 ４ 日 に 「 オ ー プ ン APIの あ り 方 に 関 す る 研 究 会 」「 ブ ロ ッ ク
チ ェ ー ン 技 術 の 活 用 可 能 性 と 課 題 に 関 す る 研 究 会 」 が 開 催 さ れ ， FinTechに よ る 金 融 革 新の推進に関して，各銀行に対するアンケート結果を踏まえて，銀行業界としての検討が開始
され，平成29年３月にそれぞれ報告書が公表された。（FISCも両研究会・検討会に参加）
全銀協のアンケートの中には，「 FISCの 金 融 機 関 等 コ ン ピ ュ ー タ シ ス テ ム の 安 全 対 策 基 準
等にて、銀行として取り組むべき安全対策等を示していただくことで、対策等の標準化が
図 ら れ る と と も に 、 検 討 時 間 、 対 応 コ ス ト の 削 減 が 期 待 で き る 」 と い っ た ， FISCに 関 するコメントも寄せられている。
（４）金融審議会における決済業務等の高度化に関する報告
金 融 審 議 会 「 決 済 業 務 等 の 高 度 化 に 関 す る ス タ デ ィ ・ グ ル ー プ 」 中 間 整 理 （ 平 成 27年 ４月 公 表 ） 68及 び 金 融 審 議 会「 決 済 業 務 等 の 高 度 化 に 関 す る ワ ー キ ン グ・グ ル ー プ 」報 告（ 平成 27年 12月 公 表 ） 69に お い て ， 情 報 セ キ ュ リ テ ィ に 関 す る 課 題 等 に つ い て 以 下 の と お り 報
告されている。
「決済業務等の高度化に関するスタディ・グループ」報告中間整理
第４章 決済システムの安定性と情報セキュリティ ２．情報セキュリティ（２）今後の課題
銀行における情報セキュリティについては、これまで、基本的に、外部接続先を主として金融業界内に限定することによって、セキュリティ侵害のリスクを低下させるとともに、万一問題が発生した場合の損失・責任については、基本的にサービス提供
68 http://www.fsa.go.jp/singi/singi_kinyu/tosin/20150428-1.html
69 http://www.fsa.go.jp/singi/singi_kinyu/tosin/20151222-2.html

50

者側が負担することにより対応されてきた。
他 方 、 IT の 発 展 等 を 背 景 に 、 ネ ッ ト バ ン キ ン グ や モ バ イ ル 送 金 な ど の 例 に 見 ら れ る
ように、決済のインターフェイスは、銀行の外部へと拡大し、同時に、決済を中心とした銀行業務のアンバンドリング化が進行する中で多様なプレーヤーが決済情報のプ
ロセスに組み込まれるようになっている。
こうした中にあっては、従来のように、サービスを提供する側が情報セキュリティ対策の責任を担い、外部とのネットワークを遮断することで情報セキュリティを構築するという手法では、十分な対策が講じられないおそれがある。
こうしたことを踏まえると、今後、ネットワークのオープン化に対応した情報セ
キ ュ リ テ ィ 対 策 を 講 じ る こ と が さ ら に 重 要 で あ る 。こ の た め 、当 面 、例 え ば 、以 下 のような課題について、検討を進める必要があると考えられる。
・ 銀 行 の ネ ッ ト バ ン キ ン グ な ど に つ い て は 、監 督 指 針 や FISC の 安 全 対 策 基 準 の 整 備等の取組みが行われてきたが、多様なプレーヤーが決済情報のプロセスに組み込まれる中にあっては、銀行のみならず、多様なプレーヤーにおける情報セキュリティ対策の向上が重要である。こうした観点からは、多様なプレーヤーが対応の拠り所とできる準則や業界における情報セキュリティ基準の設定、その実効性の確保のための方策が重要である。
・ オープン化されたネットワークにおいて有効な情報セキュリティ対策を講じるためには、銀行その他の多様なプレーヤーと利用者が、それぞれ一定の責任を持って対策を講じることが必要である。そのためには、問題が生じた場合の責任・損失分担に つ い て 、必 要 に 応 じ 、一 定 の 合 理 的 な ル ー ル が 形 成 さ れ て い く こ と が 期 待 さ れ る 。
・ 金 融 機 関 の 外 部 も 含 め 、オ ー プ ン な ネ ッ ト ワ ー ク 全 体 と し て セ キ ュ リ テ ィ 水 準 を 向上させるためには、サービスを提供する側のみならずサービスを利用する側の情報
セキュリティ対策が重要である。こうした観点からは、利用者のリテラシー向上も含め、利便性を考慮しつつも、幅広い関係者が情報セキュリティ対策を推進していくための方策が重要である。
「決済業務等の高度化に関するワーキング・グループ」報告第６章

決済高度化に向けた継続的取組み

決 済 業 務 等 の 高 度 化 は 、こ れ ま で 述 べ て き た 方 向 性 に 沿 っ て 、着 実 に 行 動 に 移 し て
い く 必 要 が あ る 。同 時 に 、決 済 を 巡 る 環 境 や 決 済 サ ー ビ ス の 変 化・発 展 の 可 能 性 を 踏
ま え れ ば 、本 報 告 書 で 述 べ た 基 本 的 な 方 向 性 を 踏 ま え 、継 続 的 に 戦 略 的 な 取 組 み を 実
行していくことも必要である。
そ の た め に は 、決 済 高 度 化 に 向 け た 取 組 み の 進 捗 状 況 を フ ォ ロ ー ア ッ プ す る と と もに 、海 外 の 動 向 や 決 済 高 度 化 に 関 連 す る イ ノ ベ ー シ ョ ン の 状 況 等 も 踏 ま え な が ら 、継続 的 に 課 題 と 行 動 を 特 定 し 、そ れ ら を 官 民 挙 げ て 実 行 に 移 し て い く こ と が 必 要 で あ り 、
金融庁にはそのための体制の整備に向けた取組みが期待される。また、その際には、決済システムの安定性や情報セキュリティの確保という課題についても適切な対応がとられていくよう、留意していくことが重要である。

51

４

海外先進諸国の動向（１）米国
2016 年 ３ 月 末 ， 米 国 通 貨 監 督 庁 （ OCC,Office of the Comptroller of the Currency）
が，『 連 邦 銀 行 シ ス テ ム に お け る「 責 任 あ る 革 新 」を 支 援 す る：OCCの 考 え 方 』と い う 文 書を 公 開 し ， 広 く 意 見 を 求 め た 70。
そ の 中 に お い て ，ま ず ，国 法 銀 行 は ，150 年 以 上 前 か ら 革 新 の 担 い 手 で あ り ，FinTech
において伝統的な銀行業務のやり方が破壊されようとしている中でも，国法銀行が金融革
新において優位性を有しており，引き続き国力の源泉であることが期待されている。

・ リ ン カ ー ン 大 統 領 が 1863 年 に 国 法 銀 行 シ ス テ ム を 創 設 し て 以 来 今 日 ま で ， イ ノ ベ ーション（革新）は，国法銀行システムの代表的な特徴である。特にこの１０年間，その 革 新 精 神 に 基 づ い て ，国 法 銀 行 及 び 連 邦 貯 蓄 組 合 は ，顧 客 の ニ ー ズ の 変 化 に 対 応 す べく，商品，サービスやテクノロジーを開発導入してきている。
・ 銀 行 が 革 新 を 続 け る 一 方 で ， 金 融 テ ク ノ ロ ジ ー ， い わ ゆ る FinTech に お い て ， 急 速 かつ劇的な進歩が起こっており，伝統的な銀行業務のやり方が「破壊」されようとしている。連邦銀行システムのその他の健全性規制当局と同様に，我々も国法銀行と連邦貯蓄組合が，こうした環境の中でも，力強く成長し，消費者，事業者，地域共同体に対 し て ，活 力 を も っ て 金 融 サ ー ビ ス を 提 供 す る 役 割 を 果 た し 続 け る こ と を 望 ん で い る 。
そ の た め に ， OCC が ， 連 邦 認 可 金 融 機 関 に お い て ，「 責 任 あ る 革 新 」 が 進 め ら れ る よ うに，それを支援する監督規制のフレームワークの準備を進めているとし，８つの原則を表明している。

1「責 任ある 革新」を 支援す る

2

OCC 内部に 「責任あ る革新 」を受け 入れる 文化を 醸成する

3

OCC の経験 と技能を 駆使す る

4

金融 サービ スへの公 正なア クセスが 提供さ れ，消費者 が公正に取 扱われ るような
「 責任あ る革新」 を奨励 する

5

効果 的なリ スク管理 による ，安全・ 健全な 金融機 関経営を 促す

6規模 に関わ らずすべ ての金 融機関が 事業戦 略に「責 任ある革 新」を 盛り込 むよう
奨 励する

7

公式な「アウトリーチ（当局が現場に赴くこと）」を通して継続的な対話を促進する

8

他の 監督当 局と協力 する

ま た ， 国 法 銀 行 と FinTech 企 業 の 関 係 と し て は ， そ れ ぞ れ の 優 位 性 を 活 か し ， 互 い に コ
ラボレーションしていくことを推奨している。
70

https://www.occ.treas.gov/news-issuances/news-releases/2016/nr-occ-2016-39.html

52

・銀行とノンバンクイノベーターは，それぞれ独自の優位性を活かし，互いにコラボ
レーションすれば，利益を得ることが可能である。戦略的で思慮深いコラボレー
ションを通じて，銀行は，最新テクノロジーへのアクセス手段を手に入れ，ノンバ
ンクイノベー ター は，潤 沢 な資 金 や巨 大 な顧 客 基 盤 を手 に入 れることができるのだ。
さらに，効果的なリスク管理が，必要条件とされている。

・「革新」は，リスクから自由ではないが，適切に管理されている限りにおいては，リスク
は進歩を妨げるものではない。実際に，効果的なリスク管理は，「責任ある革新」の必要条件である。銀行や当局は，リスクと革新の最適なバランスを心得なければならない。
・金融 危機か ら学ん だと おり ，革新 であれ ば何 でもよ いわけで はない 。
（中略 ）OCC は，
安全性，健全性，法令遵守，顧客の権利保護を堅持しうる「革新」を支援するものである。
そ の 後 ，2016 年 12 月 ，OCCは ，一 部 の FinTech企 業 に 対 し て 特 別 目 的 国 法 銀 行（ Special
Purpose National Bank） の 免 許 を 付 与 す る 案 を 公 表 し た 71。
（２）英国
英 国 金 融 行 為 規 制 機 構 （ FCA,Financial Conduct Authority） は ， 2014 年 10 月 か ら「 Project Innovate」を 開 始 ，み ず か ら イ ノ ベ ー シ ョ ン を 涵 養 す る こ と で ，金 融 サ ー ビ ス における効果的な競争を促すことを目的としている。この取組みの一環として，革新的なア
イデアを実際の人々に対して試行するため「監督規制のサンドボックス」の実施計画を2015 年 12 月 に 公 表 し た 。
一 方 で ，英 国 財 務 省 の 要 請 に よ り 2015 年 ９ 月 に「 Open Banking Working Group」が 設
立 さ れ ，英 国 銀 行 業 に お け る APIの オ ー プ ン 標 準 推 進 に 向 け た 検 討 が 開 始 さ れ た 。そ の 検 討の 成 果 と し て ， 2016 年 ２ 月 ８ 日 に 「 The Open Banking Standard」 72が 公 表 さ れ た 。 こ の報 告 書 に は ， 英 国 に お い て Open Banking Standardを 推 進 す る た め の 詳 細 な フ レ ー ム ワ ークが記載されているが，これは，英国がこの分野の国際的なリーダーシップを獲得し，世紀を超えて経済・産業の勝者であり続けることを目指した取組みであるとされている。

・仮にこの分野で英国が国際的なリーダーシップを獲得できれば，他の多くの業界を先 導 す る こ と と も な る で あ ろ う 。 す な わ ち ，こ う し て 強 固 な デ ー タ イ ン フ ラ が 構 築されることは，今日の英国経済にとって重要であるだけでなく，今後一世紀以上にわたって，英国が経済界・産業界の勝者であり続けるためにも重要である。
（ 斜 体 部 は FISC に て 意 訳 。 下 線 は FISC に て 付 す 。）

71

https://www.occ.treas.gov/news-issuances/news-releases/2016/nr-occ-2016-152.html

72 https://theodi.org/open-banking-standard53

【資料２】安対基準の適用手順
安対基準適用対象外「電子商取引の情報システム」「金融機関等以外の事業者がみずからのサービス利用者のために行う
FinTech 業務」等

高い安対基準Yes

基準の語尾が「すること」「必要である」等

採用しているリスクベースアプローチ

Yes「重要な情報システム」か？

業務を担う情報システム
FinTech

安対基準の対象【金融機関等のコンピュータシステム】であるか？

No

No

金融業務を担う情報システムであり、かつ、金融機関等に責任が生ずる
情報システム「十全な RBA」

安全対策は独自に設定することが可能「簡易な RBA」

必要最低限の安対基準
基準の語尾が「可能である」等

重大な外部性を有する情報システム
機微情報を保有する情報システム（高い安対基準を適用するのが妥当な情報システム）54

【資料３】FinTech 業務タイプ別類型に関する考察
１ 検討対象となる FinTech 業務のタイプ「安対基準の対象となる情報システムの判別基準」及び「金融機関が必ずしも主導的
立 場 と な ら な い 業 務 形 態 」 を 踏 ま え る と ， 本 検 討 会 の 検 討 対 象 と な る FinTech 業 務 を 以
下の３タイプに分類可能となる。
安対基準の対象とすべき FinTech 業務のタイプ

タイプⅠが，従来の安対基準で「外部委託」として捉えられていた基本的なタイプに
該 当 す る。タイ プⅡ は，先 般 ，平 成 28 年 ５月 の銀 行 法 等 の改 正 に よって ，金 融 機 関 がFinTech
企業を子会社とした場合に，安全対策上の責任に加えて，子会社に対する責任

73も 生 ずることから，安全対策上の責任の在り方を検討するに当たっては区別している。タイプ
Ⅲは，タイプⅠ，Ⅱと異なり，金融機関の安全対策上の責任が部分的となることから区別している。
２ FinTech 業務における安全対策実施上の関係者の基本的類型
FinTech 業 務 に お け る ３ 者 関 係 の 整 理 に 当 た っ て は ， ２ 者 関 係 の 基 本 的 類 型 の 考 え 方を参考とすることが有益である。２者関係には，単数と複数の場合があり，単数は１類型 の み と な る 。 次 に ， 複 数 の 場 合 に は ， 金 融 機 関 が 複 数 と な る 場 合 と IT ベ ン ダ ー が 複
73 平 成 28 年５月の銀 行法等改正にお いては，あわせ て「金融グル ープにおける経 営管理の充実 」のために，持 株会社等が果たす べき「機能」が 明確化された 。また，岩原紳作『金融持株会社におけるグループガバナンス－銀行法と会社法の 交 錯 （ ３ ） － 』 に お い て 「 多 く の 金 融 持 株 会 社 は ，（ 中 略 ） 子 会 社 と の 間 で 経 営 管 理 契 約 を 結 ん で 経 営 管 理 の た め の助 言 ・ 指 導 を 行 う こ と を 定 め て い る 。」 と し て い る 。

55

数となる場合がある。
前者は，安全対策上固有の性質が生ずるものとして対象とされた類型には，共同セン
ターとクラウドサービスがある。前者は，安全対策等の資源が効率化でき，その効果が複数の金融機関に及ぶ（共同性）一方で，単一の金融機関の場合と同程度に迅速かつ円滑 な 意 思 決 定 が 常 に 可 能 か 不 確 実 性 が 残 る と い う 問 題（ 時 間 性 の 問 題 ）を 含 む 。後 者 は ，
共同性を性質として有する一方で，共同委託者が互いに独立しており相互の合意をとる必要が無い（匿名性）ものの，安全対策上データの所在地把握等の統制方法に固有の留意が必要となる。
後者は，まず，金融機関の委託先が複数となる場合には，統制が直接可能であることから，固有の性質は生じず単数の場合と何ら異ならず，再委託により間接的に委託先が多段階にわたり複数となる場合は，再委託先に対して金融機関による統制が及びにくくな る こ と か ら ， 固 有 の 性 質 が あ る 類 型 と な る （ 詳 細 は 外 部 委 託 検 討 会 報 告 書 を 参 照 ）。
以上を，まとめると以下のとおりとなる。

２者関係の基本的類型

以上を踏まえて３者関係の類型を考えることとなるが，まず，３者の中の２者関係を
類 型 化 す る こ と は 不 要 で あ る 。こ れ は ，金 融 機 関 が ， FinTech企 業 と FinTech業 務 を 実 施
す る に 当 た っ て は ，当 然 の こ と な が ら 情 報 シ ス テ ム が 必 要 で あ り ，金 融 機 関 や FinTech
企業においては，そのために必要となる情報システムの開発や運用といった資源を外部
か ら 調 達 す る こ と ，す な わ ち ITベ ン ダ ー に 外 部 委 託 す る こ と が 一 般 的 で あ る と 考 え ら れる こ と に よ る （ 特 に ， 業 務 を 開 始 し た ば か り の FinTech企 業 に お い て は ， ITベ ン ダ ー の
中 で も ， ク ラ ウ ド 事 業 者 に 委 託 す る こ と が 多 い と 言 わ れ て い る 74）。
し た が っ て ， 金 融 機 関 と FinTech企 業 ， ITベ ン ダ ー と い っ た ３ 者 の 単 数 及 び 複 数 の 関
係 性 を 整 理 す れ ば 十 分 75と 考 え ら れ る 。 ま ず ， ３ 者 が い ず れ も 単 数 で あ る 場 合 に つ い て
74

日 本 銀 行 金 融 シ ス テ ム レ ポ ー ト 別 冊 シ リ ー ズ 「 IT の 進 歩 が も た ら す 金 融 サ ー ビ ス の 新 た な 可 能 性 と サ イ バ ー セ キ ュ リティ」（ 2016 年 ３ 月 ）に よ れ ば ，FinTech が ，金 融 機 関 が こ れ ま で 提 供 し て き た 金 融 サ ー ビ ス と 異 な る 点 の １ つ と し て「 クラウドサービスやオープンソース・ソフトウェアのように社外の 資産・サービス を積極的に活 用することは， 準備期
間 を 短 縮 し ，機 動 的 に サ ー ビ ス を 提 供 で き る 強 み に も な っ て い る 。」と し て い る 。ま た ，FISC『 ク ラ ウ ド 検 討 会 報 告 書 』によれば，クラウドは ，スモールス タートに適する 拡張性や柔軟 性や，新技術導入スピードが速く，また，モバイル
端 末 や SNS（ ソ ー シ ャ ル ・ ネ ッ ト ワ ー キ ン グ ・ サ ー ビ ス ） 等 と の 親 和 性 が 高 い と い っ た 利 便 性 や 機 能 の 向 上 ， 等 の メ
リットを有しているとされている。
75 な お ，FinTech 企 業 の 業 務 的 性 質 と 技 術 的 性 質 が 内 部 的 に 峻 別 可 能 で あ れ ば ，２者関係に還元 可能とする考え 方も理論的には ありうるが， FinTech 企業の内 部的な実態は多 様であり，明 確にその性質を 峻別すること は難しいものと 考える。

56

は，金融機関は常に委託元となることから，残り２者の組み合わせに応じて，以下の類型が検討すべき類型として考えられる。

３者が単数の場合に考えられる類型

次に，以上の類型において，３者のいずれかが複数となる場合について，取り上げる
べ き 基 本 的 類 型 が あ る か ど う か を 整 理 す る 。 ま ず ， IT ベ ン ダ ー が 複 数 と な る 場 合 は ， ２
者関係の基本的類型の考え方を前提にすれば，新たな類型を想定することは不要と考えら れ る 。 す な わ ち ， 金 融 機 関 の 委 託 先 で あ る IT ベ ン ダ ー が 複 数 と な る 場 合 は ， 金 融 機
関 に よ る 直 接 の 統 制 が 可 能 で あ る こ と か ら ， 固 有 の 性 質 は 生 じ な い 。 一 方 ， IT ベ ン ダ ー
又 は FinTech 企 業 を 通 じ て 複 数 の IT ベ ン ダ ー に 再 委 託 を 行 っ た 場 合 は ， 固 有 の 性 質 があ る 類 型 と し て ，既 に 外 部 委 託 検 討 会 に お い て 包 括 的 に 検 討 済 み で あ る こ と か ら ，本 検討会において個別の検討は不要と考えられる。
次 に ， FinTech 企 業 が 複 数 と な る 場 合 は ， FinTech 企 業 の 業 務 的 性 質 に 着 目 す る と ，
金 融 機 関 あ る い は IT ベ ン ダ ー が 複 数 の FinTech 企 業 に 対 し て 個 々 の 業 務 的 役 割 を 決 定
し て い る と 考 え ら れ る こ と か ら ，共 同 性 の よ う な 固 有 の 性 質 が 生 じ る こ と は な い 。ま た ，FinTech 企 業 の 技 術 的 性 質 に 着 目 す る と ， IT ベ ン ダ ー が 複 数 の 場 合 と 何 ら 異 な ら な い 。
し た が っ て ， FinTech 企 業 が 複 数 と な る 場 合 に お い て も ， 個 別 の 検 討 は 不 要 と 考 え ら れる。
最後に，金融機関が複数となる場合は，既に２者関係の基本的類型の考え方で整理された共同性の性質以外に固有の性質はないと考えられる。
以上のことから，３者が複数となる場合は，いずれも検討は不要と考えられる。

57

３ FinTech 業務タイプ別類型
以 上 の 考 察 を 総 合 す る と ，本 検 討 に お い て 前 提 と す べ き ，FinTech 業 務 の タ イ プ 別 の類型は以下のとおりとなる。
FinTech 業務において安全対策実施上の関係者のタイプ別類型

58

【資料４】従来の安対基準の概要（外部委託関連）
管理フ
ェーズ

通
番

テーマ

統制の
強度
必要

1

委託目的と範囲の
明確化
必要
必要
必要

2

選定手続きの明確化
必要3

4

機密保持契約の事前締結

5（委託業務の重要度が高くない場合）
公開情報や評判、実績等による客観的評価の実施

6

契約中断・終了に伴う移行作業の事前把握

外部委託を行う場合は、事前に目的や範囲等を明確にすること。

---

外部委託先を選定するに当たっては、選定手続きを明確にすること。
（再委託先の選定要件をあらかじめ定めることを
含む）

-

-

-

外部委託先を客観的に評価すること。
なお、当該業務に求められるリスク管理レベルを検討のうえ、その実現が可能な外部委託先を選定すること。その際、外部委託先の資質・業務遂行能力に関する情報や、外部委託先の内部統制やリスク管理に関する状況等をもとに評価を行う
ことが必要である。

金融機関が客観的評価を実施するために必要とする情報を、金融機関に提供する責務がある。

金融機関の再委託先を客観的に評価する責務がある。

一次委託先が客観的評価を実施するために必要とする情報を、一次委託先に提供する責務がある。

評価に当たっては、必要に応じ機密保持契約を事前に締結することが望ましい。

-

-

-

金融機関等において業務の特性を十分検討した
うえで、委託する業務の重要度が高くないと判断しうる場合は、公開情報や業界における評判や実績等による客観的な評価を行うことも可能である。

-

金融機関等において委託する業務の重要度が高くな
いと判断した場合は、金融機関の再委託先の公開情報や業界における評判や実績等により、客観的な評価を行うことも可能である。

-

外部委託契約の中断・終了に伴うシステム移行作業(移行データの抽出方法と実際の移行作業内容)については、サービス利用前に把握することが
望ましい。

-

-

-

運 87-1
2.

必要

運 108
3.

望ましい

運 108
3.

望ましい

金融機関の再委託先として負う責務
（責務Ｃ）

運 87
1.
2.
運 108
1.
2.
運 87-1
1.
運 108
1.
外部委託
有識者検
討会
Ⅳ.4.(1)

必要

可能

金融機関の再委託先に対する責務（責務Ｂ－２）

外部委託利用時の金融機関の責務（責務Ａ） （注 1）

客観的評価の実施

a.利用
検討時

金融機関の一次委託先として負う責務（責務Ｂ－１）

安対基準
の項番等

運 108
3.

運 108
3.(11)

59

管理フ
ェーズ

通
番

テーマ

統制の
強度

必要

データの所在の把
握
必要

安対基準
の項番等

運 108
4.

運 108
4.

金融機関の一次委託先として負う責務（責務Ｂ－１）
高い可用性が求められる業務処理を行ったり、機密性の高い顧客情報の処理・蓄積・保管を行ったりする
場合には、当該クラウドサービスに適用される法令が特定できる範囲で所在地域(国、州等)について、金融機関に情報を提供する責務がある。

金融機関の再委託先に対する責務（責務Ｂ－２）
高い可用性が求められる業務処理を行ったり、機密性の高い顧客情報の処理・蓄積・保管を行ったりする
場合には、当該クラウドサービスに適用される法令が特定できる範囲で所在地域(国、州等)を把握する責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
高い可用性が求められる業務処理を行ったり、機密性の高い顧客情報の処理・蓄積・保管を行ったりする
場合には、当該クラウドサービスに適用される法令が特定できる範囲で所在地域(国、州等)について、一次委託先に情報提供する責務がある。

勘定系システム等の極めて高い可用性・信頼性が求められるシステムについては、データセンターの立地状況等を見極める観点から、詳細な所在地まで把握する必要がある。

勘定系システム等の極めて高い可用性・信頼性が求められるシステムについて
は、金融機関等がデータセンターの立地状況等を見極める観点から、金融機関に詳細な所在地まで情報提供する責務がある。

勘定系システム等の極めて高い可用性・信頼性が求められるシステムについて
は、データセンターの立地状況等を見極める観点か
ら、詳細な所在地まで把握する責務がある。

勘定系システム等の極めて高い可用性・信頼性が求められるシステムについて
は、一次委託先等がデータセンターの立地状況等を見極める観点から、一次委託
先に詳細な所在地まで情報提供する責務がある。

インシデント発生時にデータセンターへの立入が必要になる場合や立入監査を行う際には、具体的な所在地を把握する必要がある。

インシデント発生時に金融機関がデータセンターへ立ち入る必要がある場合や立入監査を行う際には、具体的な所在地を金融機関に情報提供する責務がある。

インシデント発生時にデー
タセンターへ立ち入る必要がある場合や立入監査を行う際には、具体的な所在地を把握する責務がある。

インシデント発生時に一次委託先がデータセンターへ
立ち入る必要がある場合や立入監査を行う際には、具体的な所在地を一次委託
先に情報提供する責務がある。

金融機関等において業務の特性を十分検討した
うえで、委託する業務の重要度が高くないと判断しうる場合には、データの所在地に関する情報の把握について省略することも可能である。

-

金融機関等において委託する業務の重要度が高くな
いと判断した場合は、デー
タの所在地に関する情報の把握について省略することも可能である。

-

外部委託先との間で係争が生じた場合の準拠法やこれを取り扱う裁判所に関する取決めが他国である場合に、外部委託先の選定に当たってリスクを評価すること。

---

外部委託利用時の金融機関の責務（責務Ａ） （注 1）
高い可用性が求められる業務処理を行ったり、機密性の高い顧客情報の処理・蓄積・保管を行った
りする場合には、当該クラウドサービスに適用される法令が特定できる範囲で所在地域(国、州等)を把握する必要がある。

7
a.利用
検討時

必要

(委託業務の重要度が高くない場合)
データの所在の把握の必要性

8

他国で係争が発生することを想定して評価すべきリ
スク

可能

必要

運 108
4.

運 108
4.

運 108
5.

60

管理フ
ェーズ

通
番

9

a.利用
検討時
10

11

テーマ

統制の
強度

安対基準
の項番等

必要

運 87-1
3.

必要

運 108
6.

責任者による事業者
決定の承認（パッケージ導入の場
合）評価体制の整備及び運営・管理体制の明
確化

必要

望ましい

運 108
7.

必要

運 88
1.

必要

運 109
1.

必要
（注 2）

運 109
1.(9)

事業者からの情
報開示

必要
（注 2）

金融機関の再委託先に対する責務（責務Ｂ－２）

金融機関の再委託先として負う責務（責務Ｃ）

委託業者の決定には、最終的には責任者の承認を得ること。

---

外部委託先が所有するアプリケーション、サービス等の導入に際しては、【運 72、運 73】も参照のこと。

パッケージを導入する場
合、金融機関がパッケージの評価等を行うために必要とする情報を、金融機関に提供する責務がある。

パッケージを導入する場
合、パッケージの有効性、信頼性、生産性等を評価す
る体制を整備する責務がある。また、パッケージの運用・管理体制を明確にする
責務がある。

パッケージを導入する場
合、一次委託先がパッケージの評価等を行うために必要とする情報を、一次委託先に提供する責務がある。

外部委託した業務が安全に遂行されるために、機密保護や安全な業務の遂行等を契約として外部委託先と締結すること。

金融機関が外部委託した業務が安全に遂行されるために、機密保護や安全な業
務の遂行等を契約として、金融機関と締結する責務がある。

外部委託した業務が安全に遂行されるために、機密保護や安全な業務の遂行等を契約として、金融機関の再委託先と締結する責務がある。

一次委託先が外部委託した業務が安全に遂行されるために、機密保護や安全な業務の遂行等を契約として、一次委託先と締結する責務がある。

金融機関とクラウド事業者が協議のうえ、必要な情報をクラウド事業者が提供することを契約上明記すること。

金融機関が必要とする情報の提供について、金融機関との契約上明記する責務がある。

金融機関の再委託先と協議のうえ、必要な情報を金融機関の再委託先が提供することを契約上明記する責務がある。

一次委託先が必要とする情報の提供について、一次委託先との契約上明記す
る責務がある。

開示請求の対象情報の機密性が高い場合には、両者の間で機密保持契約を締結したうえで提供すること。

開示請求の対象情報の機
密性が高い場合には、両者（金融機関と一次委託先）の間で機密保持契約を締結したうえで提供する責務がある。

開示請求の対象情報の機
密性が高い場合には、両者（一次委託先と金融機関の再委託先）の間で機密保持契約を締結したうえで提供する責務がある。

開示請求の対象情報の機
密性が高い場合には、両者（一次委託先と金融機関の再委託先）の間で機密保持契約を締結したうえで提供する責務がある。

パッケージを導入する場合は、必要に応じて【運72、運 73】を参照すること。

安全対策を盛り込んだ
委託契約の締結

b.契約
締結時

12

運 87-1
4.

金融機関の一次委託先として負う責務（責務Ｂ－１）

外部委託利用時の金融機関の責務（責務Ａ） （注 1）

運 109
1.(9)

61

管理フ
ェーズ

通
番

テーマ

統制の
強度

安対基準
の項番等

金融機関の一次委託先として負う責務（責務Ｂ－１）
リスク事象が発生した際、または各種の資料により情報漏洩リスクが高まった、もしくは金融機関の再委託先
側の内部統制状況が悪化したなどと判断される場合、平常時における標準的な情報開示の前提に関わらず、金融機関からの開示請求を受けた時には、請求内容に応じた情報開示を行っていくべきことを金融機関との契約や SLA に明記する責務がある。

金融機関の再委託先に対する責務（責務Ｂ－２）
リスク事象が発生した際、または各種の資料により情報漏洩リスクが高まった、もしくは金融機関の再委託先
側の内部統制状況が悪化したなどと判断される場合、平常時における標準的な情報開示の前提に関わらず、金融機関からの開示請求を受けた時には、請求内容に応じた情報開示を行っていくべきことを金融機関の再委託先との契約やSLA に明記する責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
リスク事象が発生した際、または各種の資料により情報漏洩リスクが高まった、もしくは金融機関の再委託先の内部統制状況が悪化したなどと判断される場合、平常時における標準的な情報開示の前提に関わらず、一次委託先からの開示請求を受けた時には、請求内容に応じた情報開示を行っていくべきことを一次委託先との契約や SLA に明記する責務がある。

金融機関等において、業務の特性を十分検討したうえで、委託する業務の重要度が高くないと判断しうる場合には、外部委託先に対し、リスク管理に直結する事項等の情報を詳細かつ厳格に求めないことも可能である。

-

金融機関等において委託する業務の重要度が高くな
いと判断した場合は、金融機関の再委託先に対し、リスク管理に直結する事項等の情報を詳細かつ厳格に求めないことも可能である。

-

障害発生時等の迅速な対応のため、委託元金融機関の管理能力を踏まえ、委託元金融機関・外部
委託先間での責任関係を明確にし、一元的な窓口機能や外部委託先間の相互調整機能を担う事
業者をあらかじめ決めておくこと。
なお、この役割を委託元金融機関が担える場合においては、外部委託先側の相互調整機能を担う事業者は必要ではない。

-

-

-

金融機関等において、業務の特性を十分検討したうえで、委託する業務の重要度が高くないと判断しうる場合、かつリスク分析の結果として、障害発生時の影響範囲が限定的である、もしくは復旧自体が遅れてもその影響が軽微であると判断しうる場合は、相互調整を担う事業者を置かないことも可能である。

---

外部委託利用時の金融機関の責務（責務Ａ） （注 1）
リスク事象が発生した際、または各種の資料により情報漏洩リスクが高まった、もしくはクラウド事業者側の内部統制状況が悪化したなどと判断される
場合、平常時における標準的な情報開示の前提に関わらず、金融機関からの開示請求を受けた時には、請求内容に応じた情報開示を行っていくべ
きことを契約や SLA に明記すること。

事業者からの情
報開示

必要
（注 2）

運 109
1.(9)

12

(委託業務の重要度が高くない場合)事業者からの
詳細かつ厳
格な情報開
示

b.契約
締結時

（複数事業者へ委託する場合）
事業者間の相互調整機能を担う事業者の
事前決定

可能

必要
（注 2）

運 109
1.(9)

運 109
1.(10)

13(委託業務の重要度が高くない場合)
調整機能役の事
業者設置の必要
性

可能

運 109
1.(10)

62

管理フ
ェーズ

通
番

テーマ

統制の
強度

必要

b.契約
締結時

14

安対基準
の項番等

運 88
4.(15)

必要

外部委託
有識者検
討会
Ⅳ.4.(2)

可能

外部委託
有識者検
討会
Ⅳ.4.(2)

金融機関の一次委託先として負う責務（責務Ｂ－１）
金融機関が外部に委託する業務の種類や範囲に応じて、安全対策上、監査の権利(外部委託先を監査する
権利あるいは外部の専門機関により監査を実施する
権利等)を考慮し、金融機関と契約を締結する責務がある。

金融機関の再委託先に対する責務（責務Ｂ－２）
外部に委託する業務の種類や範囲に応じて、安全対策上、監査の権利(金融機
関の再委託先を監査する
権利あるいは外部の専門機関により監査を実施する
権利等)を考慮し、金融機関の再委託先と契約を締結する責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
一次委託先が外部に委託する業務の種類や範囲に応じて、安全対策上、監査の権利(外部委託先を監査する権利あるいは外部の専門機関により監査を実施する権利等)を考慮し、一次委託先と契約を締結する責務がある。

「重要な情報システム」が外部委託される場合は、委託先との委託契約の締結に当たっては、再委
託先をチェックする仕組みを担保するため、金融機関等による再委託先への監査権を明記すること。

「重要な情報システム」を受託する場合は、金融機関との委託契約の締結に当たっては、金融機関の再委託
先をチェックする仕組みを担保するため、金融機関等による再委託先への監査権を明記する責務がある。

「重要な情報システム」を金融機関の再委託先に外部委託する場合は、金融機関の再委託先との委託契約の締結に当たっては、金融機関の再委託先をチェックする仕組みを担保するため、金融機関等による再委
託先への監査権を明記する責務がある。

「重要な情報システム」を受託する場合は、一次委託先との委託契約の締結に当たっては、金融機関の再委
託先をチェックする仕組みを担保するため、金融機関等による再委託先への監査権を明記する責務がある。

監査に当たっては、みずからが実施する以外にも
適切な監査人に監査を委託することも可能である。

-

監査に当たっては、みずからが実施する以外にも適切な監査人に監査を委託することも可能である。

-「重要な情報システム」以外の情報システムが外部委託される場合は、委託先との委託契約の締結に当たっては、金融機関等による再委託先への監査権を明記しないことが可能である。

-

金融機関が「重要な情報システム」以外の情報システ
ムを外部委託し、かつ金融機関の再委託先への監査権を明記しない場合は、金融機関の再委託先との委託契約の締結に当たって、金融機関等による再委託
先への監査権を明記しないことが可能である。

-

外部委託利用時の金融機関の責務（責務Ａ） （注 1）
外部に委託する業務の種類や範囲に応じて、安全対策上、監査の権利(外部委託先を監査する権
利あるいは外部の専門機関により監査を実施する権利等)を考慮し契約を締結することが必要である。

委託先への監査権の
明記

可能

外部委託
有識者検
討会
Ⅳ.4.(2)

63

管理フ
ェーズ

通
番

14

15

テーマ

委託先への監査権の明記

立入監査等の権利の
明記

統制の
強度

可能

必要
（注 2）

安対基準
の項番等

外部委託
有識者検
討会
Ⅳ.4.(2)1617

立入監査等の代替手
段の明記

立入監査等の権利行
使の明記

必要
（注 2）

必要
（注 2）

金融機関の再委託先として負う責務（責務Ｃ）-

業務委託契約に、委託元金融機関等の立入監査等を実施する権利を明記すること。

金融機関との業務委託契約に、金融機関等の立入
監査等を実施する権利を明記する責務がある。

金融機関の再委託先との業務委託契約に、一次委
託先が再委託先に立入監査等を実施する権利を明記する責務がある。

一次委託先との業務委託
契約に、一次委託先等の立入監査等を実施する権利を明記する責務がある。

委託元金融機関が直接、立入監査等を実施するのではなく、平常時には立入監査等のスキルのある外部の第三者による検証により代替することも可能とすること。

金融機関等が直接、立入監査等を実施するのではな
く、平常時には立入監査等のスキルのある外部の第三者による検証により代替可能である。

一次委託先が金融機関の再委託先に直接、立入監査等を実施するのではな
く、平常時には立入監査等のスキルのある外部の第三者による検証により代替することも可能とする責務がある。

一次委託先等が直接、立入監査等を実施するのではなく、平常時には立入監査等のスキルのある外部の第三者による検証により代替可能である。

クラウド技術に関する重要な脆弱性が判明した場
合、クラウド事業者における他の顧客に関わる領域でインシデントが発生した場合、他事業者でインシデントが発生した場合等に、委託元金融機関への影響を確認するため、臨時の第三者監査を行うことが可能となっていること。

クラウド技術に関する重要な脆弱性が判明した場合、金融機関の再委託先における他の顧客に関わる領域でインシデントが発生した場合、他事業者でインシデントが発生した場合等に、金融機関等への影響を確認するため、臨時の第三者監査の実施が可能となっている責務がある。

クラウド技術に関する重要な脆弱性が判明した場合、金融機関の再委託先における他の顧客に関わる領域でインシデントが発生した場合、他事業者でインシデントが発生した場合等に、金融機関等への影響を確認するため、臨時の第三者監査を行うことが可能となっている責務がある。

クラウド技術に関する重要な脆弱性が判明した場合、自社における他の顧客に関わる領域でインシデントが発生した場合、他事業者
でインシデントが発生した
場合等に、一次委託先等への影響を確認するため、臨時の第三者監査の実施が可能となっている責務が
ある。

運 109
1.(12)

運 109
1.(12)

金融機関の再委託先に対する責務（責務Ｂ－２）
金融機関が「重要な情報システム」を外部委託し、かつ再委託業務のリスクが十分低いと判断し、簡易な手続
きで代替した場合は、その再委託業務のリスクが十分に低いと判断しうる場合には、上記の簡易な手続きで代替することが可能である。

「重要な情報システム」が外部委託される場合でも、委託業務が細分化され再委託先に委託された結果、その再委託業務のリスクが十分に低いと判断しうる場合には、上記の簡易な手続きで代替することが可能である。

運 109
1.(12)

b.契約
締結時

金融機関の一次委託先として負う責務（責務Ｂ－１）

外部委託利用時の金融機関の責務（責務Ａ） （注 1）

64

-

管理フ
ェーズ

通
番

17

18

テーマ

（立入監査等の実施が限定されている場合）
立入監査等の権
利行使の条件の認識共有

立入監査等の受入対応費用の明記

統制の
強度

可能

必要
（注 2）

安対基準
の項番等

運 109
1.(12)

運 109
1.(12)

b.契約
締結時

19

20

再委託先への立入監
査権の明記

立入監査等の指摘事
項の扱いの明記

必要
（注 2）

必要
（注 2）

運 109
1.(12)

金融機関の一次委託先として負う責務（責務Ｂ－１）

外部委託利用時の金融機関の責務（責務Ａ） （注 1）

金融機関の再委託先に対する責務（責務Ｂ－２）
立入監査等に代替する第三者監査が行われない、または依拠できないと金融機関が判断した場合に限定して、立入監査等を行う運用
形態を取る場合は、立入監査等の権利行使の条件を必要に応じ書面化し、一次委託先と金融機関の再委
託先の両者が認識を共有することが可能である。

金融機関の再委託先として負う責務（責務Ｃ）

立入監査等に代替する第三者監査が行われない、または依拠できないと判断される場合に限定して立入監査等を行う運用形態を取る場合は、立入監査等の権利行使の条件を必要に応じ書面化
し、委託元金融機関とクラウド事業者の両者が認識を共有することも可能である。

-

立入監査を受けるクラウド事業者側の受入対応の費用については、委託元金融機関、クラウド事業者側のいずれが負担するか、あらかじめ両者で協議しておくこと。

立入監査を受ける一次委
託先側の受入対応の費用については、金融機関、一次委託先側のいずれが負担するか、あらかじめ両者で協議しておく責務がある。

立入監査を受ける金融機
関の再委託先側の受入対応の費用については、一次委託先、金融機関の再委
託先側のいずれが負担す
るか、あらかじめ両者で協議しておく責務がある。

立入監査を受ける金融機
関の再委託先の受入対応の費用については、一次委
託先、金融機関の再委託
先側のいずれが負担するか、あらかじめ両者で協議しておく責務がある。

再委託する業務が重要な場合、再委託先等に対して、委託元金融機関とクラウド事業者間の契約に、金融機関による再委託先への立入監査を実施する権利を明記すること。

金融機関が再委託する業務が重要な場合、金融機関の再委託先等に対して、金融機関と一次委託先間の契約に、金融機関による再委託先への立入監査を実施する権利を明記する責務がある。

金融機関が再委託する業務が重要な場合、金融機関の再委託先等に対して、一次委託先と金融機関の再委託先間の契約に、金融機関による再委託先への立入監査を実施する権利を明記する責務がある。

金融機関が再委託する業務が重要な場合、金融機関の再委託先等に対して、一次委託先と金融機関の再委託先間の契約に、金融機関による再委託先への立入監査を実施する権利を明記する責務がある。

立入監査等により判明した指摘事項については、対応の是非を含め、委託元金融機関とクラウド事業者の両者で協議のうえ、合理的な対応期間を定め、期間内に対応する旨をあらかじめ契約上明確にすること。

立入監査等により判明した指摘事項については、対応の是非を含め、金融機関と一次委託先の両者で協議のうえ、合理的な対応期間を定め、期間内に対応する
旨をあらかじめ契約上明確にする責務がある。

立入監査等により判明した指摘事項については、対応の是非を含め、一次委託先と金融機関の再委託先の両者で協議のうえ、合理的な対応期間を定め、期間内に対応する旨をあらかじめ契約上明確にする責務がある。

立入監査等により判明した指摘事項については、対応の是非を含め、一次委託先と金融機関の再委託先の両者で協議のうえ、合理的な対応期間を定め、期間内に対応する旨をあらかじめ契約上明確にする責務が
ある。

運 109
1.(12)

65

-

管理フ
ェーズ

通
番

テーマ

統制の
強度

必要
（注 2）

21

金融監督当局の検査
等の明記

必要
（注 2）

必要
（注 2）

b.契約
締結時

22

インシデント発生時の立入調査の明記

必要
（注 2）

安対基準
の項番等

運 109
1.(13)

金融機関の一次委託先として負う責務（責務Ｂ－１）
当局の立入り検査等の円滑な実施を担保するため、金融機関と一次委託先との間の契約に、一次委託先の当局検査等への協力義
務を明記する責務がある。

金融機関の再委託先に対する責務（責務Ｂ－２）
当局の立入り検査等の円滑な実施を担保するため、一次委託先と金融機関の再委託先との間の契約に、金融機関の再委託先の当
局検査等への協力義務を明記する責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
当局の立入り検査等の円滑な実施を担保するため、一次委託先と金融機関の再委託先との間の契約に、一次委託先の当局検査等への協力義務を明記する責務がある。

業務委託の再委託先(再々委託先を含む)に対しても、金融機関と元請け事業者との間の契約に、当局検査等への協力義務を明記すること。

業務委託の再委託先(再々委託先を含む)に対しても、金融機関と一次委託先との間の契約に、当局検査等への協力義務を明記する責務がある。

業務委託の再委託先(再々委託先を含む)に対しても、一次委託先と金融機関の再委託先との間の契約に、当局検査等への協力義務を明記する責務がある。

業務委託の再委託先(再々委託先を含む)に対しても、一次委託先と金融機関の再委託先との間の契約に、当局検査等への協力義務を明記する責務がある。

当局検査等の指摘事項については、速やかに改善を図る旨の条項を契約に明記すること。

当局検査等の指摘事項については、速やかに改善を図る旨の条項を、金融機関と一次委託先との間の契約に明記する責務がある。

当局検査等の指摘事項については、速やかに改善を図る旨の条項を、一次委託先と金融機関の再委託先との間の契約に明記する責務がある。

当局検査等の指摘事項については、速やかに改善を図る旨の条項を、一次委託先と金融機関の再委託先との間の契約に明記する責務がある。

情報漏洩等のインシデントが発生した場合、もしくは発生が疑われる場合に、クラウド事業者が情報提供に応じない、提供しても迅速性に問題があると金融機関が判断した場合、もしくは提出情報の網羅性に疑義が有る場合は、委託元金融機関みずから、もしくは委託元金融機関が指定するセキ
ュリティ業者・デジタルフォレンジック業者の立入調査が実施できることについて、契約上明記すること。

情報漏洩等のインシデントが発生した場合、もしくは発生が疑われる場合に、金融機関の再委託先が情報提供に応じない、提供しても迅速性に問題があると金融機関が判断した場合、もしく
は提出情報の網羅性に疑義が有る場合は、金融機関
みずから、もしくは金融機関が指定するセキュリティ
業者・デジタルフォレンジッ
ク業者の立入調査が実施できることについて、契約上明記する責務がある。

情報漏洩等のインシデントが発生した場合、もしくは発生が疑われる場合に、金融機関の再委託先が情報提供に応じない、提供しても迅速性に問題があると一次委託先が判断した場合、もしくは提出情報の網羅性に疑義が有る場合は、一次委
託先みずから、もしくは一次委託先が指定するセキュリティ業者・デジタルフォレ
ンジック業者の立入調査が実施できることについて、契約上明記する責務がある。

情報漏洩等のインシデントが発生した場合、もしくは発生が疑われる場合に、金融機関の再委託先が情報提供に応じない、提供しても迅速性に問題があると一次委託先が判断した場合、もしくは提出情報の網羅性に疑義が有る場合は、一次委
託先みずから、もしくは一次委託先が指定するセキュリティ業者・デジタルフォレ
ンジック業者の立入調査が実施できることについて、契約上明記する責務がある。

外部委託利用時の金融機関の責務（責務Ａ） （注 1）
当局の立入り検査等の円滑な実施を担保するため、委託元金融機関と外部委託先との間の契約に、外部委託先の当局検査等への協力義務を明記すること。

運 109
1.(13)

運 109
1.(13)

運 109
1.(14)

66

管理フ
ェーズ

通
番

テーマ

統制の
強度

安対基準
の項番等

金融機関の一次委託先として負う責務（責務Ｂ－１）
調査時に収集の対象となる証跡の範囲及び抽出ツールの開発・検証のために必要となる費用負担について、金融機関との契約締結
時に合意を得る責務がある。

金融機関の再委託先に対する責務（責務Ｂ－２）
調査時に収集の対象となる証跡の範囲及び抽出ツールの開発・検証のために必要となる費用負担について、金融機関の再委託先との契約締結時に合意を得る責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
調査時に収集の対象となる証跡の範囲及び抽出ツールの開発・検証のために必要となる費用負担について、一次委託先との契約締結時に合意を得る責務がある。

クラウド事業者の経営不安が発生した場合、委託元金融機関みずからもしくは委託元金融機関が指定する専門業者が、必要に応じ、クラウド事業者施設に立ち入り、顧客データや関連著作物・成果物の保全を行うことを認めるよう契約に明記すること。

金融機関の再委託先の経営不安が発生した場合、金融機関みずからもしくは金融機関が指定する専門業者が、必要に応じ、金融機
関の再委託先施設に立ち入り、顧客データや関連著
作物・成果物を保全することに協力することを契約に明記する責務がある。

金融機関の再委託先の経営不安が発生した場合、一次委託先みずからもしくは一次委託先が指定する専門業者が、必要に応じ、金融機関の再委託先施設に立ち入り、顧客データや関連著作物・成果物の保全を行うことを認めるよう契約に明記する責務がある。

自社の経営不安が発生した場合、一次委託先みずからもしくは一次委託先が指定する専門業者が、必要に応じ、自社施設に立ち入り、顧客データや関連著作
物・成果物を保全することに協力することを契約に明記する責務がある。

金融機関における障害対応要員の現地の語学力が十分でない場合、日本語でのサポート、外部委
託先の日本法人等の障害対応窓口設置を明確にすること。

金融機関における障害対応要員の現地の語学力が十分でない場合、日本語でのサポート、一次委託先の日本法人等の障害対応窓口の設置に関する情報を、金融機関に提供する責務がある。

一次委託先における障害対応要員の現地の語学力が十分でない場合、日本語でのサポート、金融機関の再委託先の日本法人等の障害対応窓口設置を明確にすること。

金融機関における障害対応要員の現地の語学力が十分でない場合、日本語でのサポート、一次委託先の日本法人等の障害対応窓口の設置に関する情報を、
一次委託先に提供する責務がある。

万一障害や情報漏洩等のインシデントが発生した
際には、流出・毀損したデータの特定や原因究明のための作業が複雑化する場合があることが想定されるため、トレーサビリティ確保のための方策を準備すること。

万一障害や情報漏洩等のインシデントが発生した際には、金融機関からの求めに応じて、トレーサビリティ確保のための方策を準備する責務がある。

万一障害や情報漏洩等のインシデントが発生した際には、金融機関からの求めに応じて、トレーサビリティ確保のための方策を金融機関の再委託先に準備させる責務がある。

万一障害や情報漏洩等のインシデントが発生した際には、一次委託先からの求めに応じて、トレーサビリテ
ィ確保のための方策を準備する責務がある。

外部委託利用時の金融機関の責務（責務Ａ） （注 1）
調査時に収集の対象となる証跡の範囲及び抽出ツールの開発・検証のために必要となる費用負担について、契約締結時に合意を得ること。

必要
（注 2）

22

運 109
1.(14)

インシデント発生時の立入調査の明記

必要
（注 2）

運 109
1.(14)

b.契約
締結時

23

24

（海外でのデータ保管
時の場合）
日本語サポート及び障害対応窓口設置の明確化

トレーサビリティ確保
の準備

必要
（注 2）

必要
（注 2）

運 109
1.(16)

運 109
1.(17)

67

管理フ
ェーズ

通
番

テーマ

統制の
強度

安対基準
の項番等

必要
（注 2）

運 109
1.(11)

必要

外部委託
有識者検
討会
Ⅳ.4.(1)

再委託先の事前審査の明確化

25（「重要な情報システム」以外の情報システムの再委
託の場合）
再委託先の事前
審査の代替

可能

外部委託
有識者検
討会
Ⅳ.4.(1)

金融機関の一次委託先として負う責務（責務Ｂ－１）
金融機関が外部委託の状況を把握し、不適切な再委託先が介在することを排除するため、金融機関が委託
業務を再委託する場合、金融機関の再委託先に対する適切な事前審査を行うことに対応する責務がある。

金融機関の再委託先に対する責務（責務Ｂ－２）
金融機関が外部委託の状況を把握し、不適切な再委託先が介在することを排除するため、一次委託先が金融機関の再委託先に業務委託する場合、再委託先に対する適切な事前審査を行う責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
金融機関が外部委託の状況を把握し、不適切な再委託先が介在することを排除するため、金融機関が委託
業務を再委託する場合、一次委託先が金融機関の再委託先に対する適切な事
前審査を行うことに対応する責務がある「重要な情報システム」以外の情報システムの再委託に際しては、委託先の再委託先に対する審査・管理プロセスが金融機関等のそれと同等かそれ以上実効的であるとみなされる場合には、金融機関等が、あらかじめ委託先の審査・管理プロセ
スの整備・運用状況の適切性検証することで、そうした検証結果の確認をもって、個別の再委託先の事前審査に代替させることが可能である。

-

-

-

金融機関等において、業務の特性を十分検討したうえで、委託する業務の重要度が高くないと判断しうる場合は、再委託先における委託元金融機
関による事前の審査や日常のモニタリング等のリスク管理を簡易化することも可能である。

-

-

-

SLA の締結や SLO の確認により、サービスレベルについて合意することが望ましい。

SLA の締結や SLO の確認により、サービスレベルについて、金融機関と合意する責務がある。

SLA の締結や SLO の確認により、サービスレベルについて、金融機関の再委託先と合意する責務がある。

SLA の締結や SLO の確認により、サービスレベルについて、一次委託先と合意する責務がある。

外部委託利用時の金融機関の責務（責務Ａ） （注 1）
外部委託の状況を把握し、不適切な再委託先が介在することを排除するため、委託業務を再委託する場合、再委託先に対する適切な事前審査を行うこと。
勘定系システムや機密性の高い顧客データを保管するシステム等、特に重要な業務を再委託する
場合には、金融機関等みずからが事前審査をす
ること。

b.契約
締結時

(委託業務の重要度が高くない場合)
再委託先の事前
審査の簡易化

26

可能

運 109
1.(11)

望ましい

運 88
5.

望ましい

運 109
2.

サービスレベルの合
意

68

管理フ
ェーズ

通
番

26

テーマ

（委託業務の重要度が高くない場合）SLA 締結の省略

統制の
強度

可能

安対基準
の項番等

望ましい

運 109
4.

金融機関の再委託先に対する責務（責務Ｂ－２）
金融機関等において委託する業務の重要度が高くな
いと判断し、かつ金融機関の再委託先が提示する標
準的な SLA を締結することや一般的な契約の締結のみを行い、SLA の締結を省略した場合は、金融機関の再委託先が提示する標準的な SLA を締結することや一般的な契約の締結のみを行い、SLA の締結を省略することも可能である。

金融機関の再委託先として負う責務（責務Ｃ）

金融機関等において業務の特性を十分検討した
うえで、委託する業務の重要度が高くないと判断しうる場合には、クラウド事業者が提示する標準的な SLA を締結することや一般的な契約の締結のみを行い、SLA の締結を省略することも可能である。

-

サービスレベル合意の違反のほか、クラウド事業者や金融機関の方針変更によってクラウド事業者との契約の続行が困難になるような場合でも、業務の継続を可能とするため、事前に代替のクラウ
ドサービスや一般のアウトソーシングに移行する、
もしくはオンプレミスの環境に移行することができるような対策を講ずることが望ましい。

-

-

-

金融機関等において業務の特性を十分検討した
うえで、委託する業務の重要度が高くないと判断しうる場合は、外部委託先の協力を前提とせず、別の外部委託先に移行するための準備をあらかじめ行っておくことをもって代替することが可能で
ある。

-

-

-

運 109
3.

b.契約
締結時

代替サービスや他への移行の事前準備金融機関の一次委託先として負う責務（責務Ｂ－１）

外部委託利用時の金融機関の責務（責務Ａ） （注 1）-27(委託業務の重要度が高くない場合)
外部委託先の協力を前提としない
システム移行準備

c.開発
時

可能

運 109
4.

開発の外部委託については、「必要最低限の安対基準」の適用対象とすることが可能（注 3）

69

管理フ
ェーズ

通
番

テーマ

統制の
強度

安対基準
の項番等

金融機関の一次委託先として負う責務（責務Ｂ－１）
金融機関からデータ管理を受託する場合、金融機関からの求めに応じて、漏洩防止策を講じる責務がある。

金融機関の再委託先に対する責務（責務Ｂ－２）
金融機関の再委託先にデータ管理を委託する場合、金融機関からの求めに応じて、金融機関の再委託先に、漏洩防止策を実施させる責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
一次委託先からデータ管理を受託する場合、一次委託
先からの求めに応じて、漏洩防止策を講じる責務がある。

機密性の高い個人データ等が含まれているデータについては、暗号化等の管理策を講じること。
なお、仕様上の制約から暗号化が不可能な部分(平文で処理される部分)でのデータ覗き見リスクを把握するため、暗号化の仕様を把握し、自社のリスク管理のポリシーに合致しているかどうか判断する必要がある。

機密性の高い個人データ等が含まれているデータについては、暗号化等の管理策を講じる責務がある。
なお、金融機関がリスク管理のポリシーに合致しているかどうかを判断するた
め、金融機関に暗号化の仕様に関する情報を提供する責務がある。

機密性の高い個人データ等が含まれているデータについては、金融機関の再委託先に対して暗号化等の管理策を求める責務がある。
なお、仕様上の制約から暗号化が不可能な部分(平文で処理される部分)でのデータ覗き見リスクを把握するため、暗号化の仕様を把握し、自社のリスク管理のポリシーに合致しているかどうか判断する責務がある。

機密性の高い個人データ等が含まれているデータについては、暗号化等の管理策を講じる責務がある。
なお、一次委託先がリスク管理のポリシーに合致しているかどうかを判断するた
め、一次委託先に暗号化の仕様に関する情報を提供する責務がある。

クラウド事業者に暗号鍵の管理を委ねる場合には、その管理策の概要を十分に把握し、自社のリ
スク管理ポリシーに合致していることを判断する必要がある。

金融機関の再委託先に暗号鍵の管理を委ねる場合には、金融機関がその管理策の概要を十分に把握し、リスク管理のポリシーに合致しているかどうかを判断するため、金融機関に暗号化の仕様に関する情報を提供する責務がある。

金融機関の再委託先に暗号鍵の管理を委ねる場合には、その管理策の概要を十分に把握し、自社のリス
ク管理ポリシーに合致していることを判断する責務がある。

金融機関の再委託先に暗号鍵の管理を委ねる場合には、一次委託先がその管理策の概要を十分に把握し、リスク管理のポリシーに合致しているかどうかを判断するため、一次委託先に暗号化の仕様に関する情報を提供する責務がある。

元データとトークンを金融機関側で持ち、クラウド環境下にあるデータを無作為な乱数に置き換え、実質的に無意味化するとしたトークン化技術を利用することが可能である。
ただし、トークン化を管理策として採用する場合には、金融機関におけるトークンマッピング(対応表)の管理についても相応の管理策が必要となる。

-

-

-

外部委託利用時の金融機関の責務（責務Ａ） （注 1）
外部委託先にデータ管理を委託する場合、漏洩防止策を講ずること。

データ管理委託時の漏洩防止策の実施

蓄積・伝送データの暗号化の実施

d.運用
時

必要

必要

運 110
1.

運 110
1.(1)

28

暗号鍵の管理主体の適切性確認

暗号化の代替策
の実施

必要

必要

運 110
1.(2)

運 110
1.(3)

70

管理フ
ェーズ

通
番

テーマ

記憶装置等の障害・交換におけるデータ消
去の実施

統制の
強度

必要

d.運用
時

（重要なデータを扱わない場合）データ消去・破壊の必要性

30

委託業務の日常的監視可能

金融機関の再委託先に対する責務（責務Ｂ－２）
金融機関の再委託先の記
憶装置の故障等により、機器・部品を交換する場合には、金融機関からの求めに応じて、金融機関の再委託
先に、これらの記憶装置等に対して、データ消去を含めた十分な管理を行わせる
責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
金融機関の再委託先の記
憶装置の故障等により、機器・部品を交換する場合には、一次委託先からの求めに応じて、これらの記憶装置等に対して、データ消去
を含めた十分な管理を行う
責務がある。

契約中の記憶装置等の障害・交換における消去
証明書の発行・取得については、クラウド事業者に対して情報提出要請や監査等の方法で消去・
破壊プロセスの実効性を検証することで代替することも可能である。

-

契約中の記憶装置等の障害・交換における消去証明書の発行・取得について
は、金融機関の再委託先に対して情報提出要請や監査等の方法で消去・破壊プロセスの実効性を検証することで代替可能である。

-

外部委託先で重要なデータを扱わない場合は、記憶装置等の交換に際し、データの消去・破壊を実施しないことも可能である。

-

-

-

外部委託業務を円滑かつ適正に運営する観点か
ら、委託先の業務範囲や責任、委託先要員の遵守すべきルールを明確にし、日常的に監視する必要がある。

金融機関からの日常的監視を受忍する責務がある。

外部委託業務を円滑かつ適正に運営する観点から、金融機関の再委託先の業
務範囲や責任、要員が遵守すべきルールを明確にし、日常的に監視する責務がある。

一次委託先からの日常的監視を受忍する責務がある。

外部委託利用時の金融機関の責務（責務Ａ） （注 1）

運 110
2.

外部委託先の記憶装置の故障等により、機器・部品を交換する場合には、交換対象の記憶装置等の機器・部品に金融機関等やその顧客の情報等の機密性の高いデータが残存している可能性があるため、これらの記憶装置等に対して、データ消去を含めた十分な管理を行う必要がある。

29
記憶装置等の障
害・交換時の消去
証明書代替策

金融機関の一次委託先として負う責務（責務Ｂ－１）
一次委託先の記憶装置の故障等により、機器・部品を交換する場合には、金融機関からの求めに応じて、これらの記憶装置等に対して、データ消去を含めた十分な管理を行う責務があ
る。

安対基準
の項番等

運 110
2.

可能

運 110
2.

必要

運 89
1.
2.
3.

必要

運 90
1.
2.
3.

必要

運 112
1.
2.

71

管理フ
ェーズ

通
番

テーマ

システム監査体制の整備

立入監査の実施

d.運用
時

統制の
強度

必要

必要

安対基準
の項番等

運 91
1.
2.
3.
4.
5.
6.

運 112
3.

第三者監査の実
施

必要

金融機関の再委託先に対する責務（責務Ｂ－２）
外部委託業務に関するコンピュータシステムの運用、開発・変更等において、有効性、効率性、信頼性、遵守性、及び安全性を確保するため、独立した監査人がコンピュータシステムの総合的な監査・評価を行う責務がある。

金融機関の再委託先として負う責務（責務Ｃ）
受託業務に関するコンピュ
ータシステムの運用、開発・変更等において、独立した監査人が実施するコンピュ
ータシステムの総合的な監査・評価を受忍する責務がある。

情報提出依頼のみで委託業務の適切性の検証が十分にできない場合は、クラウド事業者のオフィス
やデータセンターへの立入監査・モニタリング等により実地で確認することが必要である。

情報提出依頼のみで委託業務の適切性の検証が十分にできない場合は、自社のオフィスやデータセンター
への金融機関による立入
監査・モニタリング等により実地で確認を受忍する責務がある。

情報提出依頼のみで委託業務の適切性の検証が十分にできない場合は、金融機関の再委託先のオフィス
やデータセンターへの立入
監査・モニタリング等により実地で確認する責務がある。

情報提出依頼のみで委託業務の適切性の検証が十分にできない場合は、自社のオフィスやデータセンターへ立入監査・モニタリング
等により実地で確認を受忍する責務がある。

外部委託先に対する実地調査(オンサイトモニタリング)が有効ではない場合などに、第三者監査で代替することが可能である。

-

金融機関の再委託先に対する実地調査(オンサイトモ
ニタリング)が有効ではない
場合などに、第三者監査で代替することが可能である。

-

第三者から見た際に、クラウド事業者との利益相
反に疑義が生じるような外観を呈していない監査法人を選定することが必要である。

第三者から見た際に、金融機関からの求めに応じて、金融機関との利益相反に疑義が生じるような外観を呈していない監査法人を選定する責務がある。

第三者から見た際に、金融機関からの求めに応じて、金融機関の再委託先に、金融機関の再委託先との利益相反に疑義が生じるような外観を呈していない監
査法人を選定させる責務がある。

第三者から見た際に、一次委託先からの求めに応じて、一次委託先との利益相
反に疑義が生じるような外観を呈していない監査法人を選定する責務がある。

外部委託業務に関するコンピュータシステムの運用、開発・変更等において、有効性、効率性、信頼性、遵守性、及び安全性を確保するため、独立した監査人がコンピュータシステムの総合的な監査・評価を行い、経営層に監査結果を報告する体制を整備する必要がある。

運 112
2.

31

可能

金融機関の一次委託先として負う責務（責務Ｂ－１）
受託業務に関するコンピュ
ータシステムの運用、開発・変更等において、独立した監査人が実施するコンピュ
ータシステムの総合的な監査・評価を受忍する責務がある。

外部委託利用時の金融機関の責務（責務Ａ） （注 1）

外部委託
有識者検
討会
脚注 40
（注 4）

72

管理フ
ェーズ

d.運用
時

通
番

31

テーマ

（委託業務の重要度が高くない場合）
費用対効果を踏
まえた管理策の実施

契約終了時の機密保護・プライバシー保護・
不正防止対策の実施

データ消去方法の
種類

e.終了
時

統制の
強度

可能

必要

必要

安対基準
の項番等

消去証明書
の代替手段
の実施

望ましい

可能

外部委託契約を終了する場合、データ漏洩防止のため、機密保護、プライバシー保護及び不正防止のための対策を講じる必要がある。

外部委託契約を終了する
場合、金融機関からの求めに応じて、機密保護、プライ
バシー保護及び不正防止のための対策を講じる責務がある。

外部委託契約を終了する
場合、金融機関からの求めに応じて、金融機関の再委
託先に、機密保護、プライ
バシー保護及び不正防止のための対策を実施させる責務がある。

外部委託契約を終了する
場合、一次委託先からの求めに応じて、機密保護、プライバシー保護及び不正防止のための対策を講じる責務がある。

データ消去に当たっては、物理的消去と論理的消去が考えられる。
なお、将来的なハードウェア更改・撤去時に物理的消去を行うことが望ましい。
（注）論理的消去の実施のみでも可

データ消去に当たっては、金融機関からの求めに応じて、論理的消去を実施する責務がある。

データ消去に当たっては、金融機関からの求めに応じて、金融機関の再委託先に、論理的消去を実施させる責務がある。

データ消去に当たっては、一次委託先からの求めに応じて、論理的消去を実施する責務がある。

外部委託先がデータを消去する場合、消去証明書を受領することが望ましい。

データを消去する場合、金融機関に消去証明書を提出する責務がある。

金融機関の再委託先がデータを消去する場合、消去証明書を受領する責務がある。

データを消去する場合、一次委託先に消去証明書を提出する責務がある。

外部委託先が論理的消去も含めたデータ消去を実施することを契約書に記載し、かつ外部の第三者が監査等において、消去プロセスの適切性を検証することにより、消去証明書の発行・取得の代替とすることも可能である。

-

金融機関の再委託先が論
理的消去も含めたデータ消去を実施することを契約書に記載し、かつ外部の第三者が監査等において、消去プロセスの適切性を検証することにより、消去証明書の発行・取得の代替とすることも可能である。

-

運 111
3.

運 111
3.

金融機関の再委託先として負う責務
（責務Ｃ）

-

運 111
1.

運 111
2.

金融機関の再委託先に対する責務（責務Ｂ－２）
金融機関等が外部委託業
務の重要度が高くないと判断する場合は、金融機関の再委託先への委託業務について、費用対効果を踏まえ、立入監査の代わりに、
第三者認証等を活用することが可能である。

外部委託業務の重要度が高くない場合は、費用対効果を踏まえ、立入監査の代わりに、第三者認証等を活用することが可能である。
運 112
4.

32
消去証明書等の受領

金融機関の一次委託先として負う責務（責務Ｂ－１）

外部委託利用時の金融機関の責務（責務Ａ） （注 1）

73

-

管理フ
ェーズ

e.終了
時

通
番

テーマ

32

（機密情報を扱わない業務
委託の場合）
データ消去プ
ロセスの簡略
化等

統制の
強度

可能

必要

f.インシ
デント
発生時

33

（重要システムの場
合）再委託先を含めた有
事対応

必要

必要

リスク管理の実施
（注 5）

安対基準
の項番等

運 111
4.

外部委託
有識者検
討会
Ⅳ.4.(3)

外部委託
有識者検
討会
Ⅳ.4.(3)

外部委託
有識者検
討会
Ⅳ.4.(3)

金融機関の一次委託先として負う責務（責務Ｂ－１）

外部委託利用時の金融機関の責務（責務Ａ） （注 1）

金融機関の再委託先に対する責務（責務Ｂ－２）

金融機関の再委託先として負う責務（責務Ｃ）

顧客データ等の機密情報を扱わない業務を外部委託先に委ねる場合は、契約終了時のデータ消去プロセスを簡略化または不要とすることも考えら
れ、消去証明書を不要とすることも可能である。

-

-

-

「重要な情報システム」が外部委託される場合は、CP は委託先や再委託先も含めて策定される必要がある。

「重要な情報システム」を金融機関から受託する場合
は、自社の CP は金融機関
や金融機関の再委託先も含めて策定する責務がある。

「重要な情報システム」を金融機関の再委託先に外部委託する場合は、金融機関の再委託先の CP は金融機関や一次委託先も含めて策定させる責務がある。

「重要な情報システム」を一次委託先から受託する場
合は、自社の CP は金融機関や一次委託先も含めて策定する責務がある。

委託先等で CP を個別に用意する場合は、各金融機関等の CP と完全に整合し相互補完的な内容とすること。

金融機関等で CP を個別に用意する場合は、自社のCP と完全に整合し相互補
完的な内容とする責務がある。

金融機関の再委託先等でCP を個別に用意する場合
は、各一次委託先等の CPと完全に整合し相互補完的な内容とさせる責務がある。

一次委託先等で CP を個別に用意する場合は、自社のCP と完全に整合し相互補
完的な内容とする責務がある。

金融機関等は、平時は、委託先等との CP に基づき、委託先及び再委託先と共同で、定期的に訓練を実施すること。

平時は、金融機関等とのCP に基づき、金融機関及び金融機関の再委託先と共同で、定期的に訓練を実施する責務がある。

平時は、金融機関の再委
託先等との CP に基づき、金融機関及び金融機関の再委託先と共同で、定期的に実施する訓練に参加させる責務がある。

平時は、一次委託先等とのCP に基づき、金融機関及び一次委託先と共同で、定期的に訓練を実施する責務がある。

運 90-1

74

（注 1）「外部委託利用時の金融機関の責務（責務Ａ）」
FISC「金融機関等コンピュータシステムの安全対策基準・解説書（第８版）」・「金融機関等コンピュータシステムの安全対策基準・解説書（第８版追補改訂）」・「金融機関における外部委託に関する有識者検討会 報告書」に記載された内容から該当箇所を転載（注 2）「金融機関等コンピュータシステムの安全対策基準・解説書（第８版追補改訂）」22 ページ『クラウド報告書』において契約書に明記することが「必要である」と記載されている項目は、オンプレミスや共同センターといった外部委託でも関連性があると思われる項目であることから、今回は「実施することが望ましい」という内容の記載にとどめることとした。
（注 3）「金融機関における外部委託に関する有識者検討会 報告書」43 ページ「重要な情報システム」の開発の外部委託（開発時だけでなく、利用検討時、契約締結時、終了時も含まれる）においても、安全対策の不確実性を低減するという目的の範囲内で定められる「必要最低限の安対基準」の適用対象とすることが可能である。
（注 4）「金融機関における外部委託に関する有識者検討会 報告書」脚注 40
FISC『金融機関等のシステム監査指針（改訂第３版追補）』「第１部 第Ⅲ章 ５．クラウドサービス監査のポイント（１）クラウド事業者に対する第三者監査人を利用した共同監査の検討」において、監査人の選定として、「顧客に対して責任を負う金融機関として、第三者から見た際に、クラウド事業者との利益相反に疑義が生じるような外観を呈していない監査法人を選定することが必要である。そのために、委託元金融機関は、共同監査の対象機関において、クラウド事業者の会計監査に従事していない監査法人を選定することが必要である。また、クラウド事業者のSOC2、IT7 号の保証業務に従事している監査法人を選定する場合には、クラウド事業者のSOC2、IT7 号の保証業務に従事していない監査責任者を選定することが必要である。」とされている。
（注 5）「金融機関におけるFinTechに関する有識者検討会 報告書」脚注 12
なお、安対基準では、金融機関が主導的立場とならない場合として、【運 90-1】において「外部委託」とは異なる「サービス利用」に関する基準がある。この基準では「各金融機関が、外部委託の管理と全く同様に、サービスの提供元を複数の中から選定することや、独自にリスク管理を行うことは難しく、また非効率な場合が多い。」とされ、各金融機関が負担する安全対策上の責任の程度を一般の外部委託と比して、限定的に解すべきとしたものである。ただし、この基準は「金融機関相互のシステム・ネットワーク」を対象としており、今回検討の対象となっている顧客に対するサービスには該当
しない。

75

【資料５】「同等性の原則」という考え方「同等性の原則」とは，金融業務を担う情報システムの安全対策の効果は，安全対策
上の関係者に関わらず，同等に確保されるべき，とする考え方である。この原則について，リスク評価から安全対策の決定・実施に至るプロセスを紐解きながら，責務の再配分ルールとの関係に触れつつ，解説を行う。
１

安全対策の基本原則に沿った安全対策の実施に至るプロセス（１）リスク評価と経営層の決定
ま ず ，安 全 対 策 の 基 本 原 則 に 従 っ た IT ガ バ ナ ン ス に 基 づ い て ，安 全 対 策 の 達 成 目 標と個々の安全対策が導出される。
経営資源配分
安全対策の期待効果

安全対策の達成目標

低減

情報システムのリスク

＝

安全
対策
安全
対策

相

安全対策と
事後対策の
比較衡量

互

・・・

安全
対策

新規開発

調
整

との調整

受容

経営資源全
事後
対策

体との調整

金融機関は，情報システムについて，リスク評価を通じてリスク特性を把握する。経
営層は，情報システムのリスクに応じて，リスクをどの程度低減するか，あるいはどの
程 度 受 容 す る か 76， を 決 定 す る 。 ま た ， リ ス ク を 低 減 す る た め の 手 段 と し て ， 安 全 対 策の達成目標を決定する。なお，安全対策の達成目標及び個々の安全対策は，リスク特性
によって，安対基準を参考としながら，決定されることとなる。
また，経営層は，安全対策に対する資源配分について，経営資源全体との調整等企業価値の最大化を目指して決定する。その際に，低減のために行われる安全対策の費用と安全対策を実施しないことで生ずる事後対策の費用も比較衡量しつつ，達成目標と相互調整を行う。次に，情報システム予算内での，新規開発投資等のその他配分先との調整が行われる。最後に，情報システム予算を超えて，経営資源全体で配分が調整される。
（２）安全対策の責務配分と効果の達成
76

低減と受容以外にも，リスク顕在化時の損害を保険で手当てする「移転」や，そもそも管理責任を有する情報システ
ムを保有しない「回避」という選択肢も取りうる。

76

次に，導出された安全対策の責務を，関係者で配分し，安全対策を実施する。

外部委託先

安全
対策

IT
ベンダー

システム
担当

安全
対策

安全対策の効果低減

安全対策の達成目標

安全
対策

金融機関

・・・

システムリス
ク管理 等

経営層によって，安全対策の達成目標と経営資源配分が決定された後は，管理者のもとで複数の関係者（システムリスク管理部門・システム担当部門・外部委託先等）によ って ，安全対策が実施される。実施に当たっては，個々の安全対策に応じて関係者間で担われる役割（責務）が特定（配分）される。
安全対策の責務は，安全対策の技術的側面を担う外部委託先と金融機関の２者に配分されるのが一般的であり，金融機関はあらかじめ安全対策遂行能力を有する外部委託先を選定するとともに，外部委託先において責務を担うために発生する費用は，最終的には，委託料として金融機関が負担することとなる。こうして，安全対策の効果が達成さ
れ ，経 営 層 が 決 定 し た 受 容 可 能 な 程 度 ま で ，シ ス テ ム リ ス ク が 低 減 さ れ る こ と を 目 指 す 。
２ FinTech 業務における安全対策の責務の配分と同等性の原則
FinTech 企 業 が 安 全 対 策 の 関 係 者 と し て 加 わ る FinTech 業 務 に お い て は ， 該 当 す る 金
融 関 連 サ ー ビ ス が 金 融 機 関 と IT ベ ン ダ ー の ２ 者 で 行 わ れ て い る の と 比 較 し て ， 同 程 度
ま で リ ス ク が 低 減 さ れ る よ う 取 り 組 む こ と が 必 要 で あ る 。こ れ を「 同 等 性 の 原 則 」と いう。
し か し ， F i n Te c h 企 業 が 加 わ っ た 場 合 ， 従 来 I T ベ ン ダ ー に 求 め て い た 責 務 を ，FinTech 企 業 に 求 め る こ と と な れ ば ，IT ベ ン ダ ー と 同 様 の 責 務 が 担 え る FinTech 企 業 の

IT

ベンダー

ベンダー
FinTech
企業

金融機関
金融機関
同等性の原則77

安全対策の効果低減

安全対策の達成目標

ITみ が 選 定 さ れ る こ と と な る 。 し か し な が ら ， FinTech に お い て は ，「 イ ノ ベ ー シ ョ ン の成 果 を 享 受 す る 」と い う 観 点 が 考 慮 さ れ る べ き で あ り ，そ の た め に ，責 務 の 再 配 分 ル ールが必要となる。

【負担可能な責務】【再配分結果】

IT

IT

IT

ベンダー

ベンダー

ベンダー

FinTechFinTechFinTech

企業

評価

再配分

安全対策の効果【期待責務配分】

金融機関
金融機関

金融機関
同等性の原則具 体 的 に は ， 選 定 時 の 評 価 の 結 果 ， FinTech 企 業 の 安 全 対 策 遂 行 能 力 が 十 全 で な い 場
合に，イノベーションの成果の享受とシステムの安全性の確保（同等性の原則）を両立させるための方策として，責務の再配分を行うこととなる。上記の例では，金融機関がFinTech 企 業 の 責 務 の 一 部 を 負 担 し て い る 。
再 配 分 の 極 端 な 例 と し て は ， FinTech 企 業 の 責 務 を ゼ ロ に す る こ と も 想 定 さ れ る が ，
こ れ に つ い て は ，「 金 融 関 連 サ ー ビ ス の 提 供 に 携 わ る 事 業 者 を 対 象 と し た 原 則 」 で は ，「何ら安全対策を実施しない，ということは適切ではない」とされているとおり，
FinTech 企 業 に お い て も ，責 任 あ る 事 業 者 と し て ，最 低 限 担 う べ き 責 務 ，分 配 不 可 能 な責務がある。
ま た ，責 務 の 再 配 分 と 同 等 性 の 原 則 は ，金 融 機 関 が 金 融 関 連 サ ー ビ ス を 主 導 し て い る
場 合（ FinTech 企 業 が 外 部 委 託 先 と な る ），FinTech 企 業 が 主 導 し て い る 場 合（ FinTech
企業に対して外部委託が準用される）のいずれにも適用可能な考え方である。
な お ，こ う し た 責 務 の 再 配 分 は ，金 融 機 関 が 従 来 か ら 任 意 で 有 し て い る 選 択 肢 の １ つ
で あ る が ，こ れ を 安 対 基 準 で 積 極 的 に 明 示 す る こ と で ，FinTech 企 業 と の 関 係 が 進 展 し ，イノベーションが促されることを期待している。

78

【資料６】金融機械化財団 （仮称）設立趣意書（抜粋）昭和 59 年９月
趣旨金融システムの機械化は、近年急速な展開を見せていますが、これは将来、金融機関の経営、金融業界とその他の業界との関係、ひいては我が国信用秩序に対して大きくかつ複雑な影響を与えることが予想されます。
特に、金融システムは、あらゆる経済部門の活動に必ず伴う資金決済の機能を有しており、また、金融機関と金融機関以外の第三者との間をオンラインで結ぶ第三次オンラ
インシステムの構築が急速に進みつつあることにかんがみれば、金融機械化システムの円滑な発展を図るため、安全性確保の問題も含め金融システムの機械化全般に関する諸問題を早急に解決し、これを着実に実行していくことが必要であると考えられます。
こうした問題については関係する業界が多岐にわたっているので、検討を行うに際しては、金融機関、保険会社、証券会社、ハード・ソフトメーカー、電気通信事業者、中央銀行、行政当局等の関係者の協力が不可欠であると考えられます。すなわち、これら関係者の十分な意思疎通の下に、知識、経験、情報等を集約することにより、安全性確保のための諸施策を推進するとともに、的確な企画・立案、開発、実施などを進めてい
く必要があると思われます。
このような見地から、金融機械化システムに係る諸問題を効率的かつ弾力的に処理して い く こ と を 目 的 と し て 、上 記 関 係 者 の 参 加 す る 民 間 出 資 の 第 三 者 的 中 立 機 関 を 創 設 し 、
民間活力発揮のため環境整備を図っていくことが適当であると考えます。
各位には、上記の趣旨にご賛同いただき、なにぶんのご協力を賜わるようお願い申しあげる次第であります。

事業内容
（１）

金融機械化システムに係る金融取引、法律関係、投資、受益者負担、国際関係等に関する企画、調査及び研究。

（２）

金融機械化システムに係る障害・犯罪発生状況の把握・開示、安全基準の策定等による安全対策の推進。

（３）

金融機械化システムに係る共同事業の調査・研究、金融機械化システムに係る斡旋・媒介、システム監査、研修・セミナー・広報等の実施。

（下線は FISC にて付す）

79

【資料７】クラウドの利用状況
金 融 機 関 等 の ク ラ ウ ド サ ー ビ ス 利 用 は ， 平 成 27 年 度 で は ， 約 半 数 の 金 融 機 関 等 が ク ラ
ウドの利用あるいは利用の検討を行っているとともに，特定のシステムに偏ることなく，年々増加している状況にある。

クラウドの利用推移
50.0%
45.0%
9.0%

40.0%

9.2%

35.0%
10.5%

30.0%
25.0%

15.3%

20.0%
15.0%

12.0%
7.9%

10.0%
5.0%
0.0%

13.0%

12.4%

12.9%

13.0%

16.5%

6.0%

4.8%

利用予定・検討中

4.0%

20.9%

利用中(プライベート)
17.4%

16.7%
10.7%

利用中（コミュニティ）
利用中（パブリック）
利用中（全体）

22年度

23年度

24年度

25年度

26年度

27年度

クラウドの利用環境
機関数

500
450
400
350
300
250
200
150
100
50
0

96
86
73

81

77
49
35
49

25年度

89

95

88

80

54

43
35

39

69

74

26年度

27年度

(出所)FISC 金融機関アンケート調査結果80

電子メールシステム
営業支援システム
社内情報共有システム
スケジュール管理システム
基幹業務系システム
その他システム【資料８】クラウドサービスの利用に関する海外監督当局の動向
近年，金融機関におけるクラウドサービス利用に関して，わが国のみならず海外先進諸国でもガイドラインの策定が進められている。
米 国 で は ， 2012 年 ７ 月 米 国 連 邦 金 融 機 関 検 査 協 議 会 （ Federal Financial Institutions
Examination Council，以 下「 FFIEC」と い う ）に よ っ て ，“ IT Handbook : Outsourcing
Booklet :Outsourced Cloud Computing” が 公 表 さ れ た 77。 ま た ， 現 在 ， パ ブ リ ッ ク ク

ラウドの利用が拡大している実態を踏まえ，新たな検討が進められている模様である。
英 国 で は ，2016 年 7 月 金 融 行 為 規 制 機 構（ Financial Conduct Authority，以 下「 FCA」と い う ） に よ っ て ，“ Guidance for firms outsourcing to the ‘cloud’ and other thirdparty IT services” が 公 表 さ れ た 78。
こ こ で は ， 上 記 の 公 表 文 書 及 び 当 セ ン タ ー が 米 国 通 貨 監 督 庁 （ Office of theComptroller of the Currency， 以 下 「 OCC」 と い う ） に 対 し て 行 っ た ヒ ア リ ン グ 結 果 をもとに，米国と英国を中心とした海外監督当局の，クラウドサービス利用時の安全対策に関する考え方について解説する。
１

クラウドサービスに対するリスク管理の基本的な考え方
金融機関には，クラウド事業者に業務を外部委託する場合においても，金融機関内部で実施した場合と同様の統制を要求するとともに，内部で実施した場合と比較してリスクが増大しないように，統制を行い，適切にリスクを管理することを求めている。

「クラウドサービスを利用する場合においても，インハウスと同様のリスク管理が何 ら か の 方 法 で な さ れ て い る こ と を 要 求 す る 。」 米 国「デューディリジェンスの実施時に，外部委託により，金融機関にオペレーショナ
ル リ ス ク が 増 大 し な い こ と を 確 認 す る こ と 。」 英 国
２

統制に対する考え方
統制に当たっては，利用検討時の客観的評価・締結する契約内容・運用時のモニタリ

ングといった管理フェーズに応じて行われる統制の方法が重視されている。

「パブリッククラウドを利用する場合にまず重要なのが，契約時のデューディリジェ
ンスと契約の中身そのものである。さらに，契約後のモニタリングも重要であり，
例えばサービスレベルアグリーメントのモニタリングを行うことは，そのクラウド
事 業 者 に 問 題 が 発 生 す れ ば 先 行 し て わ か る の で ， 有 効 な モ ニ タ リ ン グ で あ る 。」 米 国
一方で，技術的な統制の内容については，金融機関に委ねられており，金融機関には技術を十分に理解し，適切に利用していることが求められている。
77
78

http://ithandbook.ffiec.gov/media/153119/06-28-12_-_external_cloud_computing_-_public_statement.pdf
https://www.fca.org.uk/publication/finalised-guidance/fg16-5.pdf

81

「監督の基本原則は，どの技術を利用するかは金融機関が決めることであり，それに 対 し て 当 局 が 指 示 を す る も の で は な い 。ど の 技 術 を 利 用 す る に し て も ，同 様 の 内
部 統 制 や 管 理 を 要 求 す る こ と と な る 。」 米 国「セキュリティ対策については，暗号化をしなければならない，とかファイヤー
ウ ォ ー ル を 設 定 し な け れ ば な ら な い ，な ど 個 別 の 技 術 に 関 し て 当 局 が 指 示 す る わ け
で は な い 。技 術 は 変 わ る か ら で あ る 。実 質 的 に 有 効 な セ キ ュ リ テ ィ 対 策 が な さ れ て
い れ ば よ い 。例 え ば ，ク ラ ウ ド 事 業 者 が 提 供 す る 暗 号 化 ツ ー ル を 利 用 す る 場 合 が ある 。こ の 場 合 ，ク ラ ウ ド 事 業 者 の 職 員 も 暗 号 化 を 解 く キ ー を 持 つ こ と に な る 場 合 は ，職 員 に 情 報 を 見 ら れ る と い う リ ス ク は あ る 。一 方 ，機 械 な の で メ ン テ ナ ン ス も 必 要であり，クラウド事業者の職員がキーを持つことが必要であることは理解できる。
よって，その場合は，金融機関は，クラウド事業者の誰がどのような目的でそのキーを使ったのかを把握できるような方策をとっていればよい。ファイヤーウォールにしても，侵入検知システムにしても，金融機関は，その仕組みを理解して，正常に稼 働 す る の か ど う か ， テ ス ト し て お く 必 要 が あ る 。」 米 国
３

監査権に対する考え方
金融機関に対して，クラウド事業者との契約書上，実質的な統制が行えるよう手当てをすることを求めている。

「契約に，英国の法令が及び，かつ英国の裁判管轄に属することを確認すること。
そ う で な い 場 合 は ，金 融 機 関 ，監 査 人 ，関 連 当 局 が ，デ ー タ 及 び 事 業 者 に 対 し て ，
実 効 的 に ア ク セ ス す る 手 段 を 手 当 て す る こ と が 必 要 で あ る 。」 英 国
米国では，個人を特定できる情報の取扱いに関する法令（グラム・リーチ・ブライリー法）に定める場合を除き，クラウド事業者に対する監査権を契約書上明記することを強制していない。これは，米国では，バンク・サービス・カンパニー法により，監督当局
が，銀行の業務のアウトソーシングを受けているベンダーを直接検査できることも背景にあるものと推測される。

「銀行はクラウドベンダーに対して監査権を持つべきであり，その旨契約書に定める べ き で あ る 。た だ し ，こ れ は ベ ス ト プ ラ ク テ ィ ス で あ り ，監 督 当 局 と し て 銀 行 に
強 制 す る こ と は で き な い 。 法 的 に は ， 契 約 書 で 定 め る か ど う か は 任 意 で あ る 。」 米 国「多くの銀行が勘定系システムをアウトソーシングしているベンダーに対しては，
通 貨 監 督 庁 （ OCC）， 連 邦 預 金 保 険 公 社 （ FDIC）， 連 邦 準 備 制 度 理 事 会 （ FRB） などが共同で検査に入り，検査報告書はベンダーを利用している金融機関に還元してい る 。」 米 国
ま た ，ク ラ ウ ド 事 業 者 が み ず か ら 監 査 人 に 依 頼 し て 作 成 す る 保 証 型 監 査 報 告 書 に つ いては，その有効性が評価されている。
82

「主要なクラウド事業者は，独立監査法人の監査を受け，米国公認会計士協会の規格 に 沿 っ た 保 証 型 監 査 報 告 書 を 顧 客 に 提 供 し て い る 。現 実 的 に は ，多 く の 場 合 そ れら は 範 囲 を 含 め 十 分 な 内 容 で あ る の で ，そ う し た 報 告 を 受 け て い る の で あ れ ば ，追加 で 金 融 機 関 が 監 査 す る こ と が 必 要 と い う 状 況 で は な い 。現 実 問 題 と し て ，数 千 もの顧客を持つ主要クラウド事業者がいちいち顧客からの監査を受けていたらもたな
い だ ろ う 。し か し な が ら ，も し そ の 報 告 書 が 不 十 分 な の で あ れ ば ，追 加 で 監 査 で き
る よ う に 契 約 し て お く こ と が 望 ま し い 。」 米 国
４

データの所在に対する考え方
データを自国内で保存しなければならない，という規制は無い。いずれに所在しよう

とも，金融機関や当局による実質的なアクセスが可能となっていることが求められる。
そのため，データの所在地を把握しておくことが求められる。

「金融機関，監査人，関連当局が，外部委託された業務に関連するデータに，実質的 に ア ク セ ス が 可 能 と な る よ う 要 求 さ れ て い る 。こ こ で い う「 デ ー タ 」と い う 用 語に は 幅 広 い 意 味 が あ り ，金 融 機 関 の デ ー タ ，個 人 顧 客 の デ ー タ ，取 引 履 歴 デ ー タ だ
け で な く ，シ ス テ ム や 手 続 き に 関 す る デ ー タ も 含 ま れ る（ 例 え ば 要 員 の 身 元 調 査 手
続 き ， シ ス テ ム 監 査 証 跡 等 ）。 管 轄 上 ， 英 国 の 規 制 当 局 に よ る デ ー タ へ の ア ク セ ス
が 実 質 的 に 禁 じ ら れ て い る よ う な 場 所 に は デ ー タ を 保 存 し な い こ と 。」 英 国「米国では，データを米国内で保存しなければならないという規制はないが，デー
タ が 米 国 内 に あ る 場 合 と 同 様 に ，必 要 な 場 合 は 必 要 な デ ー タ が 入 手 で き る 状 態 に して い な け れ ば な ら な い 。」 米 国「 パ ブ リ ッ ク ク ラ ウ ド の 場 合 で も ，デ ー タ が 保 管 さ れ る 地 理 的 な 範 囲 は 決 め ら れ て お り ，
銀行はモニタリングできるものである。監督当局は，銀行が，データが行ってはいけな
い 場所に 行ってい ないか ，モニ タリング してい ること を検査す ること になる 。」 米国
５技術の先進性に対する考え方
金融機関は，多様なクラウドの中から，みずからのニーズに適合する形態を選択することとなるが，形態に応じて責任分界が異なることを理解し適切にリスクをコントロー
ルすることが求められる。また，これまでになかったリスクが発生する可能性があることを認識し，あらかじめその内容を理解し必要な手当てをしておくことが求められる。
これまでになかったリスクとして，匿名の利用者どうしのシステムが相互に影響を与えるリスクが想定されている。

「 パ ブ リ ッ ク ク ラ ウ ド に つ い て は ，Sa a S よ り も P aa S や Ia a S の ほ う が 金 融 機 関 にと っ て の 負 担 は 大 き く リ ス ク も 高 く な る 。金 融 機 関 が そ れ を 理 解 し て い る こ と が 重要。また，よりコアに近いシステムをクラウドに移管すればその分リスクも高くなる。ただし，大手ベンダーのレベルと理解力は高いことは当局も実感しており，実際 に は 金 融 機 関 側 が ベ ン ダ ー に 教 わ っ て い る こ と が 多 い 。」 米 国
83

「 ハ ー ド ウ ェ ア 上 ，金 融 機 関 の デ ー タ が 固 ま っ て 保 存 さ れ て い る な ら よ い が ，例 え ば ，
ゲ ー ム 事 業 者 と 一 緒 で あ れ ば ，そ れ な り の リ ス ク は あ る か も し れ な い 。例 え ば ，金融 機 関 が ハ ッ キ ン グ さ れ な く て も ，同 じ ハ ー ド ウ ェ ア に い る 別 の 利 用 者 が ハ ッ キ ン
グ さ れ て ， そ の 影 響 を 受 け な い か ， 検 証 す る 必 要 が あ る 。」 米 国「 委 託 元 ご と で デ ー タ を 分 離 す る 方 法 に つ い て 留 意 す る こ と（ パ ブ リ ッ ク ク ラ ウ ド
を 使 用 す る 場 合 ）」 英 国
６ 事業継続計画に対する考え方
業務の継続計画について，委託先とあらかじめ協議し文書化するとともに，訓練を通じて，その実効性を定期的に検証することを求めている。

「データの冗長性についてあらかじめ契約しておく必要がある。また，冗長性を契約 上 持 た せ る 場 合 で も ，実 際 の と こ ろ ど の よ う に な る の か を 理 解 し ，本 当 に 想 定 ど
おりになるかをテストしておく必要がある」 米国「金融機関は外部委託業務が予期せず中断した場合にも，業務を継続できるよう，
委 託 先 と 適 切 に 協 定 し て お く 必 要 が あ る 。そ の 場 合 に ，金 融 機 関 は ，業 務 継 続 性 の
維 持 や 復 旧 の た め の 戦 略 を 文 書 化 す る こ と ，そ の 戦 略 の 適 切 性 と 有 効 性 を 定 期 的 に
検 証 す る こ と 等 が 必 要 で あ る 。」 英 国
７ その他「クラウドベンダーは，規制業種である銀行のことをよく理解していないので，粘り 強 く 交 渉 し ，銀 行 に 必 要 な 条 項 を 契 約 に 盛 り 込 む 必 要 が あ る 。こ れ で 相 当 程 度 ，
直 接 監 査 で き な い 問 題 等 に 対 応 で き る 。」 米 国
わ が 国 で は ，ク ラ ウ ド 事 業 者 の FISC へ の 入 会 ，あ る い は 有 識 者 検 討 会 等 の 会 議 体 への 参 画 等 を 通 じ て ，ク ラ ウ ド 事 業 者 が 金 融 業 務 に 対 す る 理 解 を 深 め る 機 会 が 提 供 さ れ ている。
（斜体部は FISC にて意訳）

84

【資料９】API 接続にあたって使用されるチェックリストに関する集合的な検討
全 銀 協 が 公 表 し た「 オ ー プ ン API の あ り 方 に 関 す る 検 討 会 報 告 書 － オ ー プ ン・イ ノ ベ ー
シ ョ ン の 活 性 化 に 向 け て － 【 中 間 的 な 整 理 （ 案 ）】」 に お い て ，「 複 数 の 銀 行 と API 接 続 す
る 企 業 等 に お け る 審 査 対 応 負 担 を 軽 減 す る 観 点 か ら 、情 報 セ キ ュ リ テ ィ 関 連 機 関 に お い て 、
銀 行 が API 接 続 先 の 適 格 性 を 審 査 す る 際 に 使 用 す る 、必 須 確 認 項 目 と 独 自 確 認 項 目 か ら なる 「 API 接 続 先 チ ェ ッ ク リ ス ト 」（ 仮 称 ） を 制 定 す る こ と が 期 待 さ れ る 」 と 整 理 さ れ た 。
こ う し た 整 理 を 受 け て ，平 成 29 年 ２ 月 ，FISC が 事 務 局 と な り ，「 API 接 続 先 チ ェ ッ ク リ
ス ト ワ ー キ ン グ グ ル ー プ 」（ 以 下 「 チ ェ ッ ク リ ス ト WG」 と い う ） を 設 置 し ， 入 口 の 管 理
フ ェ ー ズ で 行 わ れ る 統 制 の 内 容 ， す な わ ち ， API 接 続 先 に 対 す る 客 観 的 評 価 で 使 用 さ れ る
チ ェ ッ ク リ ス ト（ 以 下「 チ ェ ッ ク リ ス ト 」と い う ）の 共 通 部 分 に 関 す る 検 討 等 を 行 っ て い る 。
オ ー プ ン APIは ， FinTech検 討 会 に お け る タ イ プ Ⅲ の 実 現 方 法 の １ つ で あ る こ と か ら ，チ ェ ッ ク リ ス ト の 検 討 は ， FinTech検 討 会 に お け る タ イ プ Ⅲ に 関 す る 提 言 内 容 と 整 合 的 に
進 め ら れ る こ と が 必 要 で あ る 。す な わ ち ，タ イ プ Ⅲ に お け る「 外 部 委 託 基 準 の 準 用 ル ー ル 」，
及 び「 必 要 最 低 限 の 安 対 基 準 」79を 踏 ま え つ つ ，FinTechに 関 す る 安 全 対 策 を 検 討 し て い る
集団の相互関係を意識した検討が行われることが必要である。
ま た ， FinTech 企 業 の 負 担 軽 減 の 観 点 か ら ， 社 会 的 規 範 性 を も っ た チ ェ ッ ク リ ス ト が 制
定 さ れ る こ と が 望 ま し く ，そ の た め に は ，金 融 機 関 ，FinTech 企 業 ，IT ベ ン ダ ー と い っ た
API 接 続 に 携 わ る 関 係 者 が ， 合 意 形 成 を 目 指 し て ， チ ェ ッ ク リ ス ト の 検 討 過 程 に 参 画 す る
ことが望ましい。
チ ェ ッ ク リ ス ト の 制 定 に 当 た っ て ，以 上 の 集 合 的 な 検 討 が 行 わ れ ， そ の 結 果 と し て ， 成
果 物 が 取 り ま と め ら れ た 場 合 に は ， そ の 成 果 物 は ， FinTech 検 討 会 の 提 言 内 容 の 一 部 と して取り扱われることとなる。また，環境変化等が生じた場合にも，以上の集合的な検討が行われ，成果物の内容が継続的に見直され，実装・運用されることが期待される。
API 接 続 に 携 わ る 関 係 者 に お い て は ， そ の 成 果 物 を ， 有 用 な も の と し て ，金 融 機 関 の 実
態 に 応 じ て 利 用 し ，総 体 的 な 安 全 性 の 確 保 と イ ノ ベ ー シ ョ ン の 両 立 が 目 指 さ れ る こ と を 期
待する。

79

「必要最低限 の安対基準」は， API 接続先を 含む金融関連サービ スの提供に携わ る事業者にお いて，踏 ま え ら れ る べ き
基 準 と し て も 制 定 さ れ る 。そ の 制 定 ま で の 間 は ，少 な く と も「 安 全 対 策 遂 行 能 力 の う ち 基 礎 的 な 部 分 」（ 脚 注 26）を 踏 ま
えて検討されることが望ましい。

85

【資料 10】本検討会で取り上げた課題とその対策
課題

安対基準適用対象（適用上の課題）

適用対象外

タイプⅠ

タイプⅡ

タイプⅢ

FinTech と総称

FinTech 企業の安FinTech 企業には幅広い形態に柔軟に対応しうるされる金融関連

全対策遂行能力金融機関による経安全対策の在り方が必要

サービス全般にと比してバランス

営管理と外部委託を欠く場合がある

管理への対応が負オープン API
FinTech 企業の担となる場合があ

統制対応負担軽減る

おいてシームレ
スに一体不可分な形で適切な安
全対策が実施されることを期待

対策

再配分

タイプⅡの

外部委託

集合的な検討

金融関連

ルール

補足的検討

基準の

を踏まえた

サービスの

準用ルール

安全対策の

提供に携わる在り方

事業者を対象（Ⅴ,P39）とした原則（Ⅱ３,P17）（Ⅱ６,P21）（Ⅱ４,P19）

分離可能なサブシステム（Ⅱ７,P23）

クラウドサービス利用時のリスク管理策に関する補足 （Ⅳ,P31）

協調の原則（Ⅱ５,P20）

同等性の原則（Ⅱ１,P10

86＆ 資料５）（Ⅲ３,P28）